機械設計 #35：非常停止後の復旧 — リセットで機械を再起動させない

非常停止ボタンを押すことは、安全事象の始まりにすぎません。見落とされやすいのは、その後に機械をどのように復旧させるかです。

非常停止ボタンを解除しただけでサイクルが再開すると、ワークがずれている、人が危険区域に残っている、ソフトウェアの状態と機構の状態が一致していない、といった状況で動作が始まるおそれがあります。反対に、ワーク、垂直軸、残留エネルギーを確認せず毎回すべての軸を原点復帰させれば、復旧動作そのものが新しい危険源となり、製品を破損することもあります。

適切な復旧設計では、次の七つを明確に分けます。

非常停止の作動。
設計された停止状態への到達。
原因と対象区域の確認。
安全機能のリセット。
制御状態と実機状態の照合。
独立した意図的な再起動指令。
中断した工程の管理された復旧。

本記事は、設計検討のための概念的な枠組みです。リスクアセスメント、該当するタイプC規格、現地法令、安全機能の妥当性確認、または機械安全の有資格者による評価に代わるものではありません。

1. 非常停止は補完的な保護方策であり、万能な安全スイッチではない

ISO 13850は、エネルギーの種類を問わず非常停止機能を設計する原則を定めています。非常停止は、発生中または切迫した危険を回避・低減するための機能ですが、本質的安全設計、ガードとインターロック、保護停止、安全速度や安全位置、保全時のエネルギー遮断、安全な作業手順を置き換えるものではありません。

動作が停止した後も危険が残るなら、赤い押しボタンを追加するだけでは根本原因を解決できません。また、非常停止を毎サイクルの通常停止に使うべきではありません。常用すると、不適切なモード制御が隠れ、本当の緊急事態を識別しにくくなります。

2. 非常停止、保護停止、エネルギー遮断を分ける

非常停止

発生中または発生直前の危険を回避・低減するため、人が作動させます。

保護停止

インターロック付きガードの開放や監視区域への侵入など、保護装置または保護条件によって開始されます。

エネルギー遮断

人が安全に介入できるようにエネルギー源を遮断し、蓄積エネルギーを管理します。特に保全作業で重要です。

三つとも目に見える動きを止める場合がありますが、目的と要求される信頼性は異なります。非常停止装置は、必ずしもエネルギー遮断装置ではありません。人が危険区域に入り、詰まり除去や修理を行う場合は、遮断およびロックアウト・タグアウトが必要かを判断します。

3. 「停止」を危険源に基づいて定義する

モーターの電源を切っても、すべての危険がなくなるわけではありません。

垂直軸が重力で落下する。
フライホイールが惰性回転を続ける。
シリンダーが荷重や漏れによって移動する。
ばねが圧縮されたまま残る。
アキュムレーターや配管に圧力が残る。
加熱されたワークや工程材料が危険なまま残る。
ロボットがブレーキで荷を保持している。
真空が失われてワークが落下する。

したがって、リスクアセスメントでは、各エネルギーを除去する、管理して低減する、保持する、機械的に拘束する、排出する、監視する、のどれが必要かを決めます。「無励磁なら安全」という共通解はありません。高所で荷を保持する機構では、エネルギーの喪失が落下という危険を生むことがあります。

4. 復旧シーケンスを書く前にエネルギーマップを作る

主電源、制御電源、空気圧、油圧、真空、重力、ばねと弾性、熱、工程圧力、運動エネルギー、接続装置から入るエネルギーを列挙します。

各エネルギーについて確認します。

非常停止時にどこへ移動するか。
必要な状態に達するまでの時間。
状態を確認するフィードバックの有無。
意図的に保持するエネルギーと、その理由。
バルブ、ブレーキ、コンタクター、機械式ロックの故障モード。
危険が消える前に人が接近できるか。

隣接機、共用コンベヤ、共通ユーティリティから入るエネルギーも含めます。隣のステーションが対象区域へワークを送り込めるなら、ローカル停止だけでは不十分です。

5. 復旧を考えるための状態機械

RUNNING

許可されたモードで機械が運転しています。

EMERGENCY_STOP_ACTIVE

非常停止が作動し、安全機能が設計された反応を実行しています。

STOPPED_NOT_READY

危険な動作は止まっていますが、非常停止がラッチされたまま、原因未処置、区域未確認、または残留エネルギーと機構状態が不適切です。

RESET_ALLOWED

安全リセットを受け付けるすべての条件が成立しています。

RESET_COMPLETE_NOT_READY

安全機能はリセット済みですが、運転はまだ許可されません。ドライブ未許可、基準位置不明、ワーク未確認、レシピやモード不一致などが残ります。

READY_FOR_RESTART

安全条件と運転許可条件が成立し、独立した起動指令を待っています。

RECOVERY_MODE

リスクアセスメントに基づき、低速ジョグ、アクチュエーター退避、ワーク排出、再原点設定など、限定された復旧操作のみを行います。

RUNNING

意図的な指令と必要条件の確認後にのみ、通常運転へ戻ります。

これは検討用モデルであり、安全プログラムのひな型ではありません。実際の構成は、適用規格と要求パフォーマンスレベルに従って設計・妥当性確認する必要があります。

6. 非常停止の解除、リセット、再起動は別の操作である

操作部の解除

原因を処置した後、非常停止装置のラッチを解除します。

リセット

安全制御機能を、運転準備が可能な状態へ戻します。

再起動

機械に動作開始または再開を要求する、独立した意図的な指令です。

ボタンを解除しただけで動く、安全リレーや安全PLCのリセットでアクチュエーターが動く、復電でサイクルを再開する、ガードを閉じるだけで未評価の自動起動が発生する、といった設計を防ぎます。

リセットは危険を発生させてはいけません。「安全事象によって禁止」の状態を「運転準備を開始できる」状態へ変えるだけであり、直接RUNへ移行させる操作ではありません。

7. リセット位置から対象危険区域を確認できるようにする

リセット位置は配線の都合ではなく、リスクアセスメントで決めます。操作する人から区域全体が見えるか、死角があるか、ガード内に人が残れるか、区域別のリセットが必要か、トラップキー、イネーブリング装置、区域確認手順が必要か、遠隔HMIからのリセットが妥当かを検討します。

広いセルや複数人が入れる区域では、人が内部に残っている間の再起動を防ぐ方策が必要になる場合があります。具体策は適用規格とリスクアセスメントに基づいて選定します。

8. 再起動インターロックと運転許可条件

安全リセット後、制御システムは通常、ガードとインターロック、非常停止回路、ユーティリティ圧力、ドライブ準備、ブレーキフィードバック、軸位置、クランプとワーク、レシピとモード、未処置の重大アラームを確認します。

次の三つを区別します。

安全条件： 安全機能を構成し、要求される安全性能で実装する条件。
工程の運転許可条件： 品質または通常運転のために必要な条件。
診断情報： 不具合の特定と処置を支援する情報。

すべての一般センサーを安全回路へ入れる必要はありません。一方、リスクアセスメントが要求する安全機能を通常PLCで代用してはいけません。

9. 非常停止後はソフトウェア状態を信用しない

クランプ動作、ロボットのワーク受け渡し、圧入、接着剤塗布、加工、パレット搬送の途中で非常停止が発生することがあります。「Step 42」というビットは、機構がStep 42の状態を維持している証拠ではありません。

停止中にシリンダーが移動し、ワークが落下・変位し、センサー状態が変わり、ドライブが基準位置を失い、タイマーやカウンターがリセットされ、周辺装置だけが動作を完了する可能性があります。古いステップ番号から再開せず、実機状態を確認します。

10. 状態照合を設計する

リセット後、軸位置、クランプ開閉、ワーク有無と着座、ツール位置、ドアとガード、圧力と真空、レシピと品種ID、接続装置の状態を収集します。

結果を次のように分類します。

既知の安全状態： 定義された手順で運転準備へ移行できる。
既知の復旧可能状態： 限定された復旧モードが必要。
不明状態： 自動運転を禁止し、点検または管理された基準復帰を行う。
故障状態： 保全または定義済みの介入が必要。

最後に出した指令だけから機械状態を推測してはいけません。指令は意図であり、フィードバックが証拠です。

11. 非常停止後の原点復帰は自動的に安全ではない

原点復帰でワークを横切る、ケーブルやホースを引く、荷を落とす、ハードストップへ押し付ける、ロボットと治具を衝突させる可能性があります。

絶対位置を信頼できるか、動作範囲が空いているか、ワークやクランプが経路を塞いでいないか、軸を個別に復帰させるか、どの順序が危険を小さくするか、制限速度、ホールド・ツー・ラン、イネーブリング装置が必要かを判断します。一つの「全軸原点復帰」で、すべての異常状態を扱うことは困難です。

12. 復旧モードの権限と制限を明確にする

復旧モードでは、制限速度のジョグ、アクチュエーターの退避、ワーク解放、材料パージ、基準位置の再設定を許可する場合があります。

モード選択、操作権限、必要なアクチュエーターだけの有効化、速度・力・移動量の制限、目的と前提条件を示すHMI、終了時の再確認を設計します。リスクアセスメントで必要な場合は、ホールド・ツー・ランまたはイネーブリング装置を使います。復旧モードを長期運転のバイパスにしてはいけません。

13. 垂直機構と保持荷重は個別に検討する

停電時にブレーキが保持するか、フィードバックと定期試験があるか、空気圧シリンダーに適切なロックバルブやロッドロックがあるか、漏れでどれだけ早く下降するか、保全時に重力エネルギーを機械的に拘束できるかを確認します。

モーターが保持トルクを発生する前にブレーキを解放してはいけません。概念的には、ドライブ準備、保持トルク成立、検証済み順序でブレーキ解除、位置フィードバック確認、の順です。実装は製品仕様、規格、妥当性確認に従います。

14. 非常停止時のクランプとワークを決める

クランプを保持するか解放するか、空気圧喪失でワークが落ちるか、保持によって人を挟むか、加工途中のワークを継続できるか、介入前にクランプ内のエネルギーを排出するかを確認します。

チェックバルブ、機械式ロック、ダンプバルブ、圧力フィードバック、管理された解放、落下受けなどを組み合わせます。「空気がなくなれば戻るのがフェールセーフ」という習慣ではなく、保持と解放の両方の危険を比較して決定します。

15. 複数区域ではリセットの責任範囲を定義する

各非常停止が影響する範囲、上流・下流区域の反応、区域の安全を誰が確認するか、ローカルリセットで別区域まで準備状態になるか、共用コンベヤ、ロボット、搬送装置を誰が管理するかを文書化します。

HMIには、作動中の装置、影響区域、未成立条件、必要なリセット位置、起動指令待ちの状態を表示します。すべての危険区域を確認できない場所からライン全体を一括リセットしてはいけません。

16. 復電時の予期しない再起動を防ぐ

ISO 14118は、電気、油圧、空気圧、重力、ばねなどの蓄積エネルギー、外部からの作用による予期しない起動を扱います。

復電でドライブが自動許可されるか、バルブがどの状態へ戻るか、PLCがステップを保持するか、ネットワーク再接続で古い指令が出るか、スレーブ装置が独自シーケンスを再開するか、圧力復帰でアクチュエーターが動くかを試験します。

起動・再接続時は、明確な運転禁止状態を確立し、状態照合を行い、意図的な運転指令を待たせます。

17. 非常停止は保全用ロックアウト・タグアウトの代わりにならない

人が危険区域へ入る、ガードを外す、機構に触れる、エネルギーを解放し得る詰まりを除去する、電気・空気圧・油圧を修理する場合は、エネルギー遮断の要否を評価します。

非常停止は別の人にリセットされる可能性があり、配線故障の影響を受け、制御エネルギーだけを止めて元エネルギーを遮断しない場合があります。危険区域外から行うオペレーター復旧、定義された手順による限定介入、遮断とLOTOを必要とする保全を区別します。

18. 復旧に役立つHMIとアラームを設計する

良いアラームは、何が発生したか、どの安全装置・区域が作動したか、何がリセットを妨げるか、何が再起動を妨げるか、オペレーターが何を行えるか、いつ保全担当を呼ぶかに答えます。

「Safety error」「Reset failed」や位置不明のセンサー番号だけでは不十分です。バイパスを促す説明も表示してはいけません。履歴には診断に必要な時刻と順序を残しますが、予期しない再起動につながる指令を保持しないようにします。

19. 復旧シーケンスを妥当性確認する

機械が停止中の試験だけでは不十分です。すべての非常停止装置と区域、ロボット搬送中、クランプ動作中、垂直軸動作中、工程実行中などの重要フェーズ、停電、空気圧喪失、ネットワーク切断・再接続、不合理なセンサー状態、複数保護装置の同時作動を含む試験表を作ります。

停止反応が設計どおりか、残留危険を管理できるか、操作部の解除で再起動しないか、リセットで動作しないか、独立した再起動指令が必要か、復旧モードの制限が機能するか、不明状態を検出するか、HMIとログが正しいかを確認します。

本記事のチェックリストは、適用規格に基づく正式な安全機能の妥当性確認を代替しません。

20. 設計レビュー用チェックリスト

リスクとエネルギー

[ ] 停止時と復旧時の危険を評価した。
[ ] 電気、空気圧、油圧、重力、弾性、熱、工程エネルギーをマップ化した。
[ ] 保持エネルギーと安全状態を確認するフィードバックまたは手段がある。

状態遷移

[ ] 非常停止の解除、リセット、再起動が別操作である。
[ ] リセットで危険な動作が発生しない。
[ ] エネルギー復帰で再起動しない。
[ ] シーケンス記憶ではなく実機状態を再確認する。
[ ] 不明状態から自動継続しない。

復旧

[ ] 関連する中断状態ごとに原点復帰を評価した。
[ ] 復旧モードの権限、制限、終了条件がある。
[ ] 必要に応じて垂直軸、クランプ、ワーク、接続装置に個別手順がある。
[ ] 復旧を運転バイパスにできない。

ヒューマンファクター

[ ] リセットする人が対象区域を確認できる。
[ ] 区域ごとの責任範囲が明確である。
[ ] HMIがリセット禁止条件と再起動禁止条件を区別する。
[ ] オペレーター復旧と保全用遮断の境界が明確である。

妥当性確認

[ ] 運転サイクルの複数フェーズで試験する。
[ ] 電源、空気圧、ネットワーク、センサー不合理を試験する。
[ ] 予期しない再起動を防止できることを確認する。
[ ] 文書とリビジョンを追跡できる。

まとめ

非常停止設計は、動作を止めた時点で終わりではありません。安全なシステムは、予期しない起動を生じさせず、古いソフトウェア状態を信用せず、残留エネルギーを見落とさずに復旧できなければなりません。

操作部の解除、リセット、再起動を分離します。エネルギーをマップ化し、実機状態を照合し、復旧モードを制限し、サイクル中の複数フェーズで妥当性を確認します。

最も重要なのは、リセットは運転準備の能力を戻すだけだということです。必要な安全条件、機械状態、運転許可条件を確認し、独立した意図的な指令を受けた後にのみ、機械を再起動させます。

公開参考資料

MINATAの技術記事をすべて見る