ロボットのセンサー異常処理設計：検出から安全な縮退運転まで

Fri, 15 May 2026 01:02:32 +0900

センサーが値を返し続けているときほど、通信監視だけでは異常を見逃しやすい点が気になります。

先に結論

ロボットのセンサー異常は、単一の監視箇所に集約せず、通信・データ取得、値の妥当性、状態推定、センサー間整合性、行動・安全監視の複数層で検出する設計が適しています。各層で観測できる異常が異なるためです。

欠損、異常値、不一致は同じ故障として扱いません。欠損や遅延は鮮度低下、範囲外や急激な外れ値は測定拒否、センサー間不一致は比較と故障候補の隔離として扱います。安全機能を維持できるなら速度や機能を制限し、代替観測が使えなければ停止へ移行します。

なぜ検出層を分けるのか

センサーが停止した場合、メッセージの到着間隔や通信相手の生存性を監視する層で検出しやすくなります。しかし、センサーが値を送り続けていても、固定値や環境に対してもっともらしい誤値を出すことがあります。通信が正常でも、値の意味まで正常とは限りません。

逆に、状態推定層で観測値を拒否できても、複数センサーの不一致や、安全機能に必要な観測が残っているかは別途確認が必要です。異常検出と行動決定を分け、どの層がどの種類の異常を検出したかを診断情報として伝える構成が扱いやすくなります。

前提となる用語

本稿では、欠損をメッセージが届かない、または許容される鮮度を失った状態、範囲外を扱える値域から外れた状態、外れ値を推定状態などから大きく乖離した値、不一致を複数センサーや推定結果が整合しない状態とします。

ROSの診断メッセージ仕様であるREP-107は、診断状態をOK、WARN、ERROR、STALEに分類します。ただし、各状態で停止するか、速度を制限するか、継続するかまでは規定していません。診断状態と行動ポリシーは、システム側で対応付けます。

各層の検出責務

通信・データ取得層

メッセージが期待周期で届くか、通信相手が生存しているかを確認します。ROS 2のDeadline QoSは、連続するメッセージ間の許容最大時間を定義し、期限超過をイベントとして検出できます。Liveliness QoSは、パブリッシャーなど通信相手の生存性を監視します。

これらは到着間隔や生存性を扱う機能であり、値の妥当性やタイムスタンプの意味まで検証するものではありません。

センサー値の妥当性層

型、値域、更新状態、センサー固有の自己診断などを確認し、明らかに利用できない値を上位へ渡さない層です。ただし、範囲内に収まる固定値や誤値は、この検査だけでは十分に検出できません。

状態推定層

推定状態と観測値の差を調べます。robot_localizationの資料では、マハラノビス距離による拒否しきい値を設定し、予測状態から大きく外れたpose、twist、accelerationの測定値を拒否できます。通信が正常でも、推定と整合しない観測を取り込まないための方法です。

整合性・安全監視層

冗長センサーがあれば、複数入力の整合性を比較できます。PX4には、センサーの状態や整合性を監視し、投票で使用センサーを選び、不健全なセンサーを投票から除外し、必要に応じてフェイルセーフへ移行する実装があります。

Nav2 Collision Monitorには、入力が一定時間届かない場合にソースをstaleとして扱い、速度指令の制限や停止へ移行させる実装があります。いずれも特定のソフトウェア構成に依存する実装例であり、すべてのロボットへそのまま一般化できるわけではありません。

flowchart LR
  A["センサー入力"] --> B["通信・データ取得層\n到着周期・生存性・タイムアウト"]
  B --> C["センサー値の妥当性層\n型・範囲・更新状態"]
  C --> D["状態推定層\n予測状態との差・外れ値拒否"]
  D --> E["センサー間整合性監視層\n冗長入力・推定結果の比較"]
  E --> F["行動・安全監視層\n安全機能の可用性を判定"]

  B -. "欠損・遅延・配信停止" .-> G["STALEとして診断"]
  C -. "範囲外" .-> H["異常値を上位へ渡さない"]
  D -. "推定と大きく乖離" .-> I["測定値を推定更新から除外"]
  E -. "センサー間不一致" .-> J["故障入力を隔離・冗長系を検討"]

  F --> K{ "安全機能を維持できるか" }
  K -->|"維持できる"| L["速度・加速度・可動範囲・自律機能を制限"]
  K -->|"代替観測を利用できる"| M["冗長センサーへ切替"]
  K -->|"必要な観測を確保できない"| N["停止"]

  G --> F
  H --> F
  I --> F
  J --> F

センサー異常を単一の監視ノードで判定せず、検出責務を複数層に分けて行動ポリシーへ結び付ける構成を示します。

異常種別と行動の比較

異常の種類	主な検出層	処理の例	行動の例
欠損・到着間隔超過	通信・安全監視	STALE相当として鮮度を評価	速度制限、機能停止、停止
範囲外	値の妥当性	入力から除外	代替入力の検討、継続可否判定
急激な外れ値	状態推定	イノベーションや距離で拒否	推定更新から除外、機能制限
センサー間不一致	整合性監視	比較、故障候補の隔離	冗長系切替、必要なら停止
安全観測の喪失	行動・安全監視	安全機能の可用性を評価	保守的状態、停止

表の状態名と行動の対応は、REP-107の一般規則ではありません。許容時間や安全上の意味を、対象システムごとに定義する必要があります。

センサー異常 on Physical AI Hub