フェイルセーフ

なんらかの装置・システムにおいて、誤操作・誤動作による障害が発生した場合、常に安全に制御すること

フェイルセーフ(フェールセーフ、フェイルセイフ、英語: fail safe)とは、なんらかの装置・システムにおいて、誤操作・誤動作による障害が発生した場合、常に安全に制御すること。またはそうなるような設計手法で信頼性設計のひとつ。これは装置やシステムが『必ず故障する』ということを前提にしたものである。

概論編集

「フェイルセーフ」は「故障は安全な側に」というのが原意である[1]。機械は壊れたときに、自然にあるいは必然的に安全側となることが望ましいが、そうならない場合は意識的な設計が必要である。たとえば自動車は、エンジンが故障した場合、エンジンの回転を制御できないような故障ではなく、回転が停止するような故障であれば、自動車自体が止まることになり安全である。このため、回転を止めるような故障モードへ自動的に(自然に)落とし込むような設計思想が、フェイルセーフとなる。

飛行機の場合は、エンジン故障で全推力を失っても滑空して無事着陸できる設計であればフェイルセーフである。ヘリコプターのエンジン停止においては、オートローテーションという飛行方法により飛行機同様滑空して着陸することができる。推力を失った場合に滑空出来ない機体設計の場合は、エンジンの搭載機数を増やし、その内一機が故障しても推力を失わない「フォールトトレラント」という、別の設計思想とETOPSなどの運用方法で対応する。

ヒューズは、過電流が流れた場合にヒューズ自身が溶けて壊れることにより、それ以上の過電流を止めて基板等の焼損や出火を防止する。この点で、電気回路にヒューズを挿入することやヒューズそのものも一種のフェイルセーフであるといえる。

コンピュータシステムや操作している人間の不具合を検知するために、定められた周期で決められた信号を送り続け、相手側で信号の受信が無い場合に不具合とみなす仕組みをウォッチドッグタイマーデッドマン装置と呼ぶ。

空気ブレーキ編集

鉄道車両は、(圧縮空気で動作する)ブレーキに故障があった場合、非常ブレーキがかかるように設計することがフェイルセーフとなる。

たとえば、自動空気ブレーキにおいては、何らかの衝撃で車両間の連結が外れた場合は必ず非常ブレーキが作動するようになっているため、列車貫通ブレーキ管に空気圧をかけなければブレーキが緩解しないように設計されている。 これにより、連結が外れて配管が切れた場合でも、各車両にある補助空気だめの圧力により非常ブレーキがかかる。 また一部の電車では、「非常ブレーキ指令線」と呼ばれる信号線を編成内に引き通し、断線等で信号が途切れると非常ブレーキが作動するよう設計されている。

踏切編集

踏切遮断機においては、「遮断棹が上がっている状態」を維持するために力をかけなければならないよう、設計される。これがフェイルセーフとなる。 この場合は、停電などが起きて遮断機が作動しなくなっても、重力によって自然と遮断棹は下りたままになり、踏切内への立ち入りを防止するようになっている。 なお、節電のため列車を運転しない時間帯に故意に送電を停止させている路線では、停電状態でも遮断棹が下がらないように調整することが出来る。

信号機編集

道路編集

交通信号においては、制御機が故障した場合や、停電した場合には、発電機付きの信号を除いて灯火が消えるが、赤点滅と黄点滅をそれぞれの道路に表示して交通の安全と円滑を確保している。

灯火が消えた場合でも明確に「交通整理の行われていない交差点または横断歩道としての注意義務が生じる」と有るため、運用上致命的な問題は発生しない。

鉄道編集

鉄道信号機では連動装置軌道回路線路に何らかの異常が発生した場合や停電となった場合、停止信号(赤信号)を表示する設計となっているため、冒進が防がれている。

例えば自動閉塞方式を採用している路線では、軌道を介して閉塞の終端側にある送信用電源から、信号機などが設置されている受信側の軌道継電器まで常に電流が流れており、この電流を受信することにより信号は列車の進入を許可している。この一連の回路を軌道回路といい、回路となる閉塞区間内に列車が在線すると輪軸が左右のレール短絡し、軌道継電器に電流が流れなくなるため信号は停止信号を表示する。一方でレールの破断など軌道回路を構成する部分の故障によって回路の電流が遮断されたりすると同様に軌道継電器に電流が流れなくなるため、信号は常に停止信号を表示するようになるのでフェイルセーフとなる。

ただし、倒木、土砂崩れ、路盤流出など、実際に列車の運行に危害を及ぼす被害が出ても、レールが破断せず、短絡もされない場合には無力であり、運転士の目視確認のみに頼ることにも限界があるため、危険が想定される箇所には落石センサー監視カメラを設置して補う場合もある。

また、信号機の無灯火状態は停止信号と同じ効力を持つと定められており、これはソフトウェア面でのフェイルセーフである。

MIDI編集

MIDIでの音楽演奏中には音楽信号とは関係のない「アクティブセンシング」という信号を定期的(約300ミリ秒ごと)に出力している。出力側が「ノートオン」(音を出す命令)を出すと受信側は「ノートオフ」の信号を受信するまで音を出し続ける。しかし、ノートオン後に不具合が発生して「アクティブセンシング」の信号が受信できない場合は、強制的に音を止める。故障した場合は音が止まる方向で動作を停止するので、故障した機器を使わずにコンサートなどが続行できる(逆に故障時に音が出る方向で設計されていた場合、演奏に支障がある)。

脚注編集

  1. ^ 株式会社南山堂発行 「TEXT 麻酔・蘇生学」(1995年2月10日 第1版発行、ISBN 4-525-30841-9、p.301 「【臨床実習メモ】 フールプールとフェイルセーフ」より。2020年6月11日閲覧

関連項目編集