機械設計 #71：シーケンスと異常復旧 — リセットで痕跡を消してはいけない

1. 機能と証拠から始める

寸法、設定、センサー、部品を先に決めず、この機械シーケンスが何を行い、入力がどこから来て、境界でどう動き、何を故障と呼ぶのかを明確にする。「古い機械と同じ」では、タイミング、担当、アクセス、保全、安全の前提が隠れる。検証できる要求には入力状態、運転条件、期待結果、許容限界、測定方法を含める。社内標準は出発点であり、最終判断は実機、工程、作業者、設置場所で確認する。

2. 四つの層を同時に見る

機能と荷重では、定格、始動、衝撃、芯ずれ、異常、復旧を分け、システム全体の流れを追う。慣性、温度、通信遅延、圧力、洗浄、作業者の操作、実際のサイクル数を含める。実装では、機械、制御、ソフト、データ、作業票で同じ要求を作れて測れるかを確認する。インターフェースでは基準、信号、識別子、向き、アクセス、引渡し、変更権限を定義する。運転と保全では、交換、復旧、清掃、調整、基準値へ戻す証拠を実機で見る。

3. このテーマの基本チェック

状態モデル、開始条件、終了条件、責任者：各状態に開始条件、終了条件、責任者を与える。二つの状態の間の空白としてだけ存在する状態を作らない。
遷移ごとのインターロックと許可条件：すべての遷移にインターロックと許可条件を置く。許可条件のない遷移は、誤ったタイミングでも成立してしまう遷移である。
異常時の記録、警報文、保持するデータ：異常発生時に何を記録し、警報に何と表示し、停止後もどのデータを残すかを決める。文脈の残らない異常は調査できない。
手動復旧、安全な位置、エネルギー遮断：手動復旧の手順、戻すべき安全な位置、人が中へ手を入れる前に必要なエネルギー遮断を定める。
再起動の条件と二重動作の防止：再起動の条件を示し、二重動作を防ぐ。もっとも危険なのは、リセット直後の瞬間である。
中断、センサ異常、停電に対する試験表：正常に流れるシーケンスだけでなく、中断、センサ異常、停電を含む試験表を用意する。

証拠のないチェックは完了ではない。「確認した」は「計算した」と同じではなく、「計算した」も「境界で試験した」と同じではない。要求の隣に証拠番号を置く。

4. ばらつきと故障モード

機能入力から守る特性までの連鎖を作り、公称、最悪値、工程が安定した場合だけ統計値を分ける。人の操作、遅延、データ欠落、摩耗、汚れ、復旧時間を含める。機械シーケンスでは特に、state transitions, interlocks, recovery steps, retained evidence, and safe restartを境界条件で確認する。

故障モード	症状	確認
境界を楽観視	デモは通るが運転や異常で停止	最小・最大と異常条件で試験
機能と無関係な要求	がた、拘束、誤状態、誤記録	機能基準から再構築
工程やデータを省略	ずれ、欠落、復旧不能	ルートと重要段階を測定
復旧を未設計	停止が長い、安全に再開できない	中断・復旧トライアル
文書が不一致	改訂や設定が違う	図面、ソフト、レシピ、作業票を基準化

5. 発行と現場レビュー

機能に意味があり検査できる要求だけを書く。特殊要求には範囲、基準またはデータ源、条件、合否限界を示す。「注意して扱う」だけでは行動は決まらない。根拠、改訂、前提、レビュー、試作・FAT、変更後の再確認点を保管する。実機では始動、通常運転、停止、再始動、中断、管理された異常を通し、力、温度、タイミング、アラーム、識別子、接触痕、交換・復旧時間を記録する。

6. MINATA発行チェック

[ ] 機能、入力、サイクル、異常境界を記載した。
[ ] 材料、工程、制御、データ、検査方法を合意した。
[ ] 機能インターフェースと責任者が見える。
[ ] 六項目に証拠と合否基準がある。
[ ] 選択、組立、復旧、誤操作防止を実機で試した。
[ ] 故障モードに担当者、証拠、再試験条件がある。
[ ] サプライヤーと受入記録が改訂・ロットに紐付く。
[ ] 立上げ基準と保全対応を定義した。

この主題が単純化されやすい理由

試運転の段階では、まず機械を動く状態にすることが優先されます。例外処理、データ、権限は、タイマ、リセット用のビット、口頭の指示で片づけられがちです。量産へ移ると、その場しのぎの判断がそのまま実際のふるまいになり、しかも責任者も合否の基準も存在しません。

保全できる設計は次に答えられる必要があります。どの状態が存在するのか、誰が判断する権限を持つのか、どのデータが正なのか、故障にどう反応するのか、そして基準の状態へ戻ったことを何で証明するのか。

異常は「最初の工程へ戻る」ことではありません

すべての異常で工程番号をゼロに戻すと、確認済みの位置、保持しているワーク、確保した資源、完了した動作の情報をすべて失います。復旧はまず状況を保存することから始まります。消すことから始めるのではありません。

異常後の状態を三つに分ける

一貫している状態 — そのまま継続できる。
あいまいだが確認できる状態 — 条件を確かめれば判断できる。
不定の状態 — 人の介入が必要になる。

三つは、動かしてよい範囲、必要な確認、抜け出す経路がそれぞれ違います。同じ「異常」として扱うと、安全側にも生産側にも損をします。

チェックポイントは物理的な意味を持たせる

良いチェックポイントは証拠と結び付いています。ワークが基準面を通過した、把持部が確認信号を返した、次の工程が受け取りを記録した、といった事実です。プログラムがある区間を通過したというだけの理由でチェックポイントを置かないでください。

復旧手順は独立した一つのシーケンスです

開始条件、動かしてよい範囲、作業者の権限、制限時間、完了の判定、到達すべき状態を持ちます。生産用のシーケンスをいくつかのビットで迂回して呼び直す方法は取りません。

境界ごとに異常を試験する

重要な段階でセンサを遮る、空気圧を落とす、通信を切る、電源を入れ直す、といった試験を行います。指令の重複、繰り返す異常、そして復旧の最中に起きる異常も確認します。最後の一つが、現場で最も多く抜けている試験です。

8. まとめ

良い設計は、製造、運転、保全、変更を通過する明示された前提の連鎖である。機械シーケンスについて問うべきなのは「動くか」だけでなく、「境界が動いても動き続ける証拠は何か」である。これがMINATAの基準である。

まとめ

シーケンスと異常復旧は、プロジェクトの最後に付け足すロジックではなく、アーキテクチャとライフサイクルの問題である。状態、識別、操作権限、データ、復旧のそれぞれに明確な取り決めがあれば、機械は運転しやすく、調査しやすく、変更しやすくなる。最初にプログラムを書いた人の記憶に頼らずに済む。

MINATAの技術記事をすべて見る