機械設計 #38：インターロックと運転許可条件 — PLCの全条件が「安全」ではない

機械プログラムには、動作を禁止する条件が数百個存在することがあります。人を保護する条件、工程を保護する条件、不具合の診断だけを目的とする条件があります。すべてを「インターロック」または「安全」と呼んでも、機械は安全になりません。責任主体、必要な信頼性、正しい反応、妥当性確認に必要な証拠が見えなくなるだけです。

ガードロック機能と「ワーク有り」ビットは、どちらもサイクル起動を禁止できますが、同じ設計分類ではありません。前者は検証された安全機能の一部となり、後者は工程運転許可条件です。潤滑不足の警告は保全対応を要求しても、現在の安全なサイクルを直ちに停止する必要がない場合もあります。

条件を分類し、正しいシステムへ割り当て、反応とリセットを定義し、その影響に合う方法で検証することが設計者の仕事です。

本記事は概念的な設計フレームワークです。リスクアセスメント、安全要求仕様、適用タイプC規格、パフォーマンスレベル計算、機械安全有資格者による妥当性確認に代わるものではありません。

1. 「インターロック」は運転を禁止する全ビットの総称ではない

現場では、ガード開、圧力低下、レシピ未設定、下流設備未準備、工具寿命、画像判定NGなど、あらゆる条件をインターロックと呼びがちです。共通する結果が「機械を起動できない」だけで、目的は異なります。

分類が曖昧だと、通常PLCが知らないうちに安全機能を負担し、安全PLCへ品質ロジックが増殖し、アラームの指示が不適切になり、保全担当者が影響を理解せず条件をバイパスする危険があります。

タグ名を付ける前に、条件の分類を決めます。

2. 安全インターロックとは何か

安全インターロックは、人へのリスクを低減する安全機能に寄与します。インターロック付きガードが開いている間の危険動作防止や、危険な惰性運動が終わるまでガードロックを保持する機能が例です。

完全な安全機能には、検出装置、入力系、安全ロジック、出力系、動力制御要素、必要なフィードバック、制御対象の機械的危険源が含まれます。安全状態、要求性能、故障反応、リセット、妥当性確認を仕様化します。

「安全スイッチ」という製品だけでは、完全な安全機能になりません。達成性能は、構成と統合によって決まります。

3. 工程運転許可条件とは何か

意図した運転、製品品質、設備間協調を開始・継続するための条件です。ユーティリティ圧力、正しいレシピ、ワーク着座、下流準備、工具寿命、品種識別などがあります。

不成立時は、起動禁止、管理された状態での一時停止、または復旧への移行が一般的です。リスクアセスメントで安全上の役割を割り当てない限り、通常PLCで実装できます。

条件ごとに理由コードを残します。オペレーターが、どの条件が、どこで、なぜ不足し、正規の復旧操作は何かを理解できるようにします。

4. 診断条件とは何か

劣化、矛盾、故障兆候を識別する条件です。サイクル時間の増加、センサー余裕の低下、フィルター寿命、ブレーキ試験期限、信号の不合理などを示します。

影響に応じて警告、保全作業、管理停止、即時故障を発生させます。「診断だけ」という理由で軽視してはいけません。一方、通常ロジックに診断ビットを追加しても、安全機能の信頼性が自動的に向上するわけではありません。

5. ロジックの責任主体マップを作る

確認事項	設計判断
何を保証するか	人身安全、工程運転、品質、設備保護、診断
ロジック責任主体	安全コントローラー、工程PLC、機器コントローラー、上位システム
反応	安全停止、管理停止、起動禁止、保持、警告、保全依頼
解除方法	状態復帰で自動、確認応答、手動リセット、点検、権限保全
必要な証拠	安全妥当性確認、機能試験、チャレンジテスト、傾向、点検記録

責任主体は、電気設計、ソフトウェア構造、HMI表示、試験計画、変更管理で一貫して見える必要があります。タグ接頭辞だけでは文書になりません。

6. ガード閉とガードロックは異なる

ガード閉

ガードが閉位置へ到達しています。停止時間が短く、開けば直ちに接近可能となる用途では、リスクアセスメントにより十分な場合があります。

ガードロック

ガードが閉じ、解放条件が成立するまで機械的に開放を防止しています。停止指令後も危険動作・エネルギーが残る場合に必要です。

「閉」センサー一つで「ロック」を証明できません。ロック指令も係合完了の証拠ではありません。必要な証拠を定義し、位置ずれ、アクチュエーター破損、ロック故障、不正操作を試験します。

7. インターロック装置だけでは安全機能は完成しない

装置はガード状態を検出・制御しますが、安全機能はロジック、コンタクターやドライブ安全機能、配線、診断、停止挙動、機械構造にも依存します。

危険源、安全状態、停止カテゴリまたは安全動作、リセット・再起動規則、要求性能を定義し、通常時と故障時の全経路を検証します。部品カタログの配線例を写すだけでは実機の妥当性を証明できません。

8. 予期しない起動を防ぐ

ガード開放や安全装置作動時は、設計された安全反応を開始します。ガード閉鎖や装置解除だけで危険動作を再起動させてはいけません。例外的な自動再起動は、用途ごとに評価・設計された場合に限ります。

復電、圧力復帰、通信再接続、遠隔指令、PLC保持状態、機器の自動シーケンスを考慮します。中断後は既知状態を確立し、必要なリセットと独立した意図的起動指令を待ちます。

9. リセットの責任範囲を定義する

リセットは、安全機能を復帰させる条件を確認したことを示します。操作位置、区域の視認性、権限、影響範囲が重要です。

工程用の「全リセット」で、複数区域の安全機能まで暗黙にリセットしてはいけません。危険区域を確認できない遠隔位置からのリセットを避けます。区域ごとに、どのリセットがどの装置へ作用し、他区域が禁止状態を維持するかを文書化します。

リセットは危険動作を発生させず、運転可能性を戻すだけで、起動指令ではありません。

10. 工程運転許可条件には理由コードが必要

AutoReady = falseという集約ビットはシーケンスには便利ですが、原因調査には不十分です。圧力不足、ワーク未着座、レシピ不正、下流未準備、軸位置範囲外、工具寿命超過などの個別理由を保持します。

HMIには、現在値、要求値、場所、許可された操作を示します。「センサーをバイパス」「ビットを強制ON」と表示してはいけません。複数条件が不足するときも、初発事象と全条件一覧を確認できるようにします。

11. すべてを一つの巨大なReadyビットへまとめない

単一のReady信号はコードを短くしますが、文脈を失い、循環依存を生みます。安全準備、ユーティリティ、動作系、治工具、ワーク、下流、レシピの準備状態を分けます。

各状態の生成側・使用側を定義し、上位シーケンスには安定したインターフェースを与えながら、元の証拠と診断理由を保持します。

12. 起動前の許可条件と運転中の喪失反応を分ける

起動前に確認した条件が、動作中に失われた場合は別の反応が必要です。圧力は起動許可条件でも、クランプ中の低下は管理された故障反応を必要とします。下流Readyは搬送開始前に必要ですが、受渡し途中の喪失にはハンドシェイク復旧が必要です。

各条件について、起動前要求、運転中監視、喪失時反応、再起動方式、再開前の証拠を指定します。同じBooleanを使うだけでは状態別の正しい反応になりません。

13. 古いビットと通信状態

通信停止後も受信PLCが鮮度を監視しなければ、遠隔ReadyがTrueのまま残ります。HMIキャッシュ値は機器再起動後も有効に見え、ハンドシェイクビットが前サイクルから残ることがあります。

通信正常、ハートビートまたはシーケンス番号、挙動に基づくタイムアウト、起動時初期化、明確な無効状態を使います。再接続後は保持ビットから再開せず、双方の状態を照合します。

14. 妥当性

信号の組合せが物理的に成立するか確認します。通常形状でガード開と安全ロック成立は同時に起こらず、シリンダーが両端へ同時に存在せず、ステーションは現在要求と品種を受理せずにCycleCompleteを返しません。

妥当性診断は短絡、コネクター取違い、ターゲット破損、古いデータ、不完全な状態モデルを検出します。関連する確認事項に基づき、安全反応、工程停止、保全警告のどれにするか決めます。

15. タイミング

信号は物理的に妥当な時間内に成立・消失する必要があります。ガードロックの係合、ドライブの安全速度・停止到達、圧力上昇、ハンドシェイク通信には時間範囲があります。

部品データ、機構、実測、PLCスキャン、通信挙動、検証済み余裕から時間を決めます。便宜的な遅延は誤停止または故障隠しになります。実時間を記録すれば劣化傾向も見つけられます。

16. 無効化とバイパスを管理する

保全バイパス、ミュート、段取りオーバーライド、センサー無効化は明示設計します。誰が、どのモードで、何分間、どの代替保護方策とともに許可されるか、表示と記録をどうするかを定義します。

PLC強制より、設計されたモード選択と限定機能を優先します。バイパスは自動失効または意図的な更新を要求し、最小範囲だけに作用し、必要に応じて通常自動運転を禁止します。

17. モード制御

自動、手動、段取り、教示、復旧、保全モードでは、許可動作と保護方策が異なります。モード選択を明確にし、必要なら権限制御します。

モード変更で故障を暗黙解除したり、動作を有効化したりしてはいけません。モードごとに速度、力、移動量、ホールド・ツー・ラン、イネーブリング装置、ガード、リセット要件を定義します。HMIはMode 1ではなく能力と制限を示します。

18. アラーム構成

安全機能作動

作動した安全装置と区域、禁止動作、必要な点検・リセットを示します。バイパスを誘導しません。

工程運転禁止

不足条件、現在値・要求値、場所、復旧操作を示します。「起動準備未完了」と運転中断故障を区別します。

診断警告

劣化、残り余裕、推奨保全、エスカレーションしきい値を示します。警告を恒久的な背景ノイズにせず、実行可能な作業へつなげます。

二次アラームが原因を隠さないよう、初発情報と状態スナップショットを保持します。

19. 分類ごとに妥当性確認する

安全妥当性確認

予見可能な故障、リセット・再起動、停止性能、達成構成を含め、安全要求仕様に対して全安全機能を確認します。

工程妥当性確認

正常・異常条件、境界値、シーケンス各段階、レシピ変更、ユーティリティ喪失、復旧を試験します。

診断妥当性確認

センサー、配線、通信、タイミング、妥当性故障を注入し、表示、反応、記録、保全案内を確認します。

通常サイクルが一度通っただけでは、どの分類も十分に証明できません。

20. 変更管理

一条件の変更でも、安全、シーケンス、HMI、試験証拠、復旧に影響します。要求、責任者、対象モード・区域、旧・新挙動、リスク影響、ソフトウェア・図面リビジョン、再検証範囲を記録します。

重要そうに見せるため工程許可条件を「安全」と呼んだり、生産を容易にするため安全条件を格下げしたりしてはいけません。分類はリスクと確認事項で決めます。

21. 設計手順

ステップ1 — リスクアセスメント

通常シーケンスより先に危険源と必要安全機能を特定します。

ステップ2 — 工程状態モデル

有効状態、遷移、中断状態、復旧経路を定義します。

ステップ3 — 条件分類

安全、工程、品質、設備保護、診断へ分類します。

ステップ4 — 責任主体の割当て

コントローラー、サブシステム、区域、担当分野を決めます。

ステップ5 — 反応とリセット

起動時、運転中喪失、リセット権限、再起動条件を指定します。

ステップ6 — 診断設計

理由コード、遷移、時間、妥当性、通信鮮度を保持します。

ステップ7 — 検証計画

分類に合う証拠と故障注入試験を選びます。

ステップ8 — ライフサイクル管理

バイパス、設定、変更、定期試験、交換を管理します。

22. レビューチェックリスト

安全

[ ] 必要安全機能に仕様と検証計画がある。
[ ] 必要に応じガード閉とロックを区別した。
[ ] リセット・エネルギー復帰で予期しない起動がない。

工程

[ ] 起動許可と運転中喪失反応を個別に定義した。
[ ] 集約Readyの背後に理由コードを保持する。
[ ] ハンドシェイクに鮮度と通信喪失後の復旧がある。

診断

[ ] 遷移、タイミング、不合理な組合せを監視する。
[ ] アラームに場所、期待状態、正規操作がある。
[ ] 初発情報と文脈を保持する。

リセット・再起動

[ ] リセット権限と対象区域が明確である。
[ ] リセットで動作を開始しない。
[ ] 再起動に意図的指令と状態確認が必要である。

妥当性確認

[ ] 安全、工程、診断の試験が確認事項と一致する。
[ ] バイパスとモード挙動を試験・追跡できる。
[ ] 変更時に必要な再検証を行う。

まとめ

機械を動かさない条件がすべて安全インターロックになるわけではありません。安全インターロックは、仕様化・検証された安全機能によって人へのリスクを低減します。工程運転許可条件は運転と品質を保護し、診断は劣化と故障を見つける証拠を提供します。

確認事項を分類し、責任主体を決め、起動時と運転中の反応を定義し、理由コードを残し、リセットとバイパスを管理し、分類に合う証拠で検証します。

明確な分類は単なる文書作業ではありません。保護方策を知らずに弱めることなく、機械を検証、故障診断、復旧、保全、変更しやすくします。

公開参考資料

MINATAの技術記事をすべて見る