機械設計 #39：保全アラーム — 「Error」と表示するだけでは足りない

「シリンダーエラー」「センサー異常」「機械故障」。これらは生産停止を伝えますが、どこで何が起き、制御がどの証拠を確認し、次に何を行ってよいかを説明しません。

有効なアラームは、機械の診断アーキテクチャの一部です。最初の事象と関連状態を保持し、担当者を正しい対応へ案内し、機械改善に使えるデータを残します。赤い文字を増やすことが目的ではありません。危険な推測を減らし、症状から確認済み原因までの経路を短くすることが目的です。

本記事は実務的な設計フレームワークです。機械リスクアセスメント、安全システムの表示要求、企業のアラーム方針、サイバーセキュリティ管理、実機・工程の妥当性確認に代わるものではありません。

1. すべての通知がアラームではない

健全なHMIは、メッセージを目的別に区別します。

分類	目的	代表的な対応
状態表示	現在の運転状態を説明	監視のみ。介入不要
操作案内	定義された操作を要求	搬入、搬出、確認、選択
警告	劣化または限界接近を通知	点検・保全を計画
工程運転禁止	起動・遷移できない理由を説明	不足した運転条件を復帰
アラーム	適時対応が必要な異常を報告	安定化、診断、修正、復旧
安全状態表示	安全機能・安全装置の状態を表示	検証済み安全・リセット手順に従う

すべてを赤色、点滅、ブザー付きにすれば、優先度を伝えられなくなります。通常の操作案内まで故障履歴へ入れると、原因分析に使えないノイズになります。

2. なぜ「Cylinder error」は弱いアラームなのか

この表示だけでは、次の問いに答えられません。

どのステーションの、どのシリンダーか。
どの動作指令が失敗したか。
どの出力を指令したか。
どの端位置センサーを期待したか。
実際のセンサー状態は何か。
動作開始から何秒経過したか。
圧力は十分だったか。
ワークや他機構が干渉していないか。
オペレーターが再試行できるか、保全が必要か。

弱いアラームは、図面やPLCタグの検索、繰返しリセットを人に強制します。繰返しリセットは証拠を消し、詰まった機構を動かし、復旧可能な故障を設備損傷へ変えることがあります。

3. 実行可能なメッセージの構造

実用的なアラームは五要素を含みます。

対象と場所： ステーション20、昇降シリンダーCY-204。
要求動作： 上昇位置へ未到達。
観測証拠： 1.8秒後も上昇センサーOFF、下降センサーOFF、圧力0.42 MPa。
確認候補： 機械干渉、空気圧、センサーターゲット、弁出力。
許可された次操作： 区域確認後に復旧モードを使用。不明状態なら保全へ連絡。

表示例：

S20 / CY-204昇降軸が1.8秒以内に上昇位置へ到達しません。 上昇センサーOFF、下降センサーOFF、マニホールド圧力0.42 MPaです。機械的干渉と空気圧を確認してください。出力を強制しないでください。区域クリア確認後、復旧 → 昇降点検を使用します。

見出しに全詳細を詰める必要はありません。短い主表示と、展開可能な証拠・手順を組み合わせます。最初の画面でも、場所、事象、次の正規操作は分かるようにします。

4. 故障発生時点の状態を保持する

故障後、ライブ値は変わります。圧力が戻り、アクチュエーターがドリフトし、人がワークを動かし、通信が再接続し、シーケンスが中間ビットを消去します。現在値だけを表示すると、発生時の証拠が失われます。

アラーム初回成立時に状態スナップショットを保存します。

必要分解能のタイムスタンプ。
機械モード、状態、ステップ、レシピ、ワークID。
動作指令と経過時間。
関連する入力・出力状態。
軸位置、速度、トルク、偏差。
圧力、真空、流量、荷重、温度、工程結果。
通信と機器診断状態。
必要に応じて安全区域状態。

アラーム群ごとに最小限で有用な情報を選びます。PLCメモリー全体の保存は、意味のない容量を増やし、アクセス制御すべき情報まで露出させます。

5. 初発故障を保持し、結果で原因を隠さない

一つの原因が多数の二次アラームを生みます。圧力喪失により、複数シリンダーのタイムアウト、ロボットハンドシェイク異常、ワーク信号喪失、下流未準備が連続します。最新順や件数順だけでは、最初の圧力事象が埋もれます。

初発故障ロジックは、故障エピソード内で最初の関連事象と状態を固定します。その後のアラームも表示しますが、結果または同時事象として関連付けます。エピソードの開始、安定、初発情報を解除できる条件を定義します。

初発故障が必ず根本原因とは限りません。選択した範囲とスキャン分解能で最初に観測した証拠です。強い手掛かりとして使い、物理原因を確認します。

6. 確認応答、条件解消、リセットを区別する

確認応答： 人が表示を認識したことを示します。故障を修復しません。
条件解消： アラームを発生させた物理・論理条件がなくなりました。
リセット： 必要確認後、定義された運転可能性を戻す意図的な指令です。

確認応答だけで有効条件を消してはいけません。スナップショット保存前にリセットで履歴を消してはいけません。条件解消だけで動作を自動再開させません。

HMIは、有効・未確認、有効・確認済み、必要に応じ解消・未確認、履歴を区別します。安全機能のリセットは検証済み規則に従い、一般工程アラームの一括リセットへ安易に混ぜません。

7. 優先度は必要な反応で決める

優先度は、不具合の不快さや要求部署の強さではなく、人の反応の緊急性と影響で決めます。

人、設備、製品、環境を守るため即時対応が必要か。
何分以内に対応する必要があるか。
無対応の場合に何が起きるか。
オペレーターで対応できるか、保全・技術が必要か。

少数の優先度レベルと明確な基準を使います。ブザー・点滅は本当に即時注意が必要な条件へ限定します。80%が「High」なら優先度は機能しません。

重大度と優先度は同じではありません。既に安全に封じ込めた重大事象は調査を要しても即時操作が不要な場合があります。軽い工程偏差でも、大量不良を防ぐため迅速対応が必要なことがあります。

8. 誰が対応するかを決めて設計する

オペレーター

場所を明示し、正しいワーク投入、ガード閉、材料補充、安全に見える干渉確認、定義済み復旧手順など、日常の安全な操作を案内します。PLCビット強制、未文書のセンサー調整、手順なしの危険区域進入を要求しません。

保全担当

機器タグ、図面参照、実際・期待信号、初発状態、傾向、機械・電気・流体の確認候補、遮断要件、修理後のプルーフテストを提供します。

技術・エンジニアリング

ソフトウェア・レシピのリビジョン、状態遷移、事象相関、サイクル分布、機器コード、パラメーター変更、再発パターンが必要です。根本原因分析と設計変更に使います。

一つのアラームで三役向けに階層表示できます。オペレーター向け見出しは短く保ち、権限付き詳細には危険なバイパス指示を含めません。

9. タイムアウトを物理現象へ結び付ける

シリンダータイムアウトは、ストローク、流量、荷重、クッション、供給圧力、温度、PLCスキャン、通信更新、センサー応答、検証済み余裕から決めます。「十分長そう」だから5秒では、誤停止または故障検出遅れになります。

通常動作時間の分布を実条件で記録し、根拠ある警告・アラームしきい値を設定します。通常0.7秒の動作が1.4秒へ徐々に伸びれば、2秒アラーム前に漏れ、摩擦、汚れ、圧力低下を示せます。

初期センサーを離れない、両端センサーが同時ON、目標未到達、動作遅延、圧力未成立、センサー遷移不合理などを必要に応じて分けます。それぞれ確認箇所が異なります。

10. アラームを保存するだけでなく履歴から学ぶ

履歴から次を分析できるようにします。

発生回数ではなく停止時間が最も大きいアラームは何か。
初発故障となる頻度が高い事象は何か。
どのステーション、品種、シフト、工程段階と関係するか。
確認、診断、修理、復旧に何分かかるか。
修正記録なしにリセットだけで繰り返し消えるアラームは何か。
後の停止を予測する警告は何か。
常時発生、チャタリング、重複、未使用のアラームは何か。

定期的に性能をレビューし、重複削除、文章改善、根拠ある限界調整、センサー・スナップショット改善を行い、再発証拠を設計対策へ変えます。指標を良く見せるためだけにアラームを抑制せず、ノイズの根本原因を解決します。

条件、遅延、優先度、文章、リセット、対応手順をリビジョン管理します。変更は機械挙動を変えるため、再試験が必要です。

11. 一機構のアラーム設計チェックリスト

目的と分類

[ ] 状態、案内、警告、工程禁止、アラーム、安全表示を正しく分類した。
[ ] 異常条件と必要反応が明確である。
[ ] 優先度が文書化した反応基準に従う。

トリガーと証拠

[ ] 物理モデルと既知の信号挙動に基づいて発生する。
[ ] タイムアウトが実測・計算した動作時間と遅延に基づく。
[ ] 必要に応じ遷移・妥当性故障を区別する。
[ ] 値が変化する前に初発故障と状態を保存する。

メッセージ

[ ] 対象、ステーション、要求動作を示す。
[ ] 実際値と期待値を確認できる。
[ ] バイパスではなく正規の確認方法を案内する。
[ ] 翻訳が工場用語と一貫する。

ライフサイクル

[ ] 確認応答、条件解消、リセット、再起動を分けた。
[ ] 対応担当とエスカレーションを定義した。
[ ] 履歴から停止時間と再発を分析できる。
[ ] 定義、文章、限界、手順をリビジョン管理する。

安全とアクセス

[ ] ガードとエネルギー遮断要求に反しない案内である。
[ ] 安全表示が検証済みリセット・再起動規則に従う。
[ ] 詳細診断と遠隔アクセスに適切な権限がある。

12. 管理された故障シナリオで受入れ試験する

正常生産は正常経路しか証明しません。アラーム受入れでは、安全対策を行ったうえで意図的な故障を与えます。

非安全工程センサーを切断または位置ずれさせる。
評価済み条件でアクチュエーターを阻害する。
ユーティリティ圧力を境界値まで下げる。
機器・ステーション通信を中断する。
矛盾する端位置信号を与える。
ハンドシェイクビットを固着させる。
同一原因を異なるシーケンス段階で発生させる。
一つの初発故障から複数の結果アラームを発生させる。
未確認のまま条件を解消し、次にリセットせず確認応答だけを行う。
再起動・復電後に予期しない再起動がないことを確認する。

各ケースで、発生時間、文章、優先度、初発故障、スナップショット、操作案内、確認・解消・リセット、履歴、復旧経路を確認し、FAT・SATへ期待値と実結果を記録します。

リスクアセスメントを無視し、人を危険にさらす方法で故障を注入してはいけません。故障注入方法自体にも計画と権限が必要です。

まとめ

アラームは機械停止を告げるだけでは不十分です。証拠を保持し、対象と要求動作を示し、正しい担当者を案内し、安全な復旧を支援する必要があります。

場所、事象、観測値、次の正規操作に答える文章を書きます。発生時の状態を保存し、初発故障を保持し、確認応答・条件解消・リセットを分離し、必要反応から優先度を決めます。

優れたアラームシステムは推測を減らします。オペレーターの正しい復旧、保全の短い診断経路を支え、再発故障を次期機械リビジョン改善の技術証拠へ変えます。

参考資料

MINATAの技術記事をすべて見る