機械設計 #72：タイミング予算とタイムアウト — 5秒を感覚で決めない

1. 機能と証拠から始める

寸法、設定、センサー、部品を先に決めず、この機械タイミングが何を行い、入力がどこから来て、境界でどう動き、何を故障と呼ぶのかを明確にする。「古い機械と同じ」では、タイミング、担当、アクセス、保全、安全の前提が隠れる。検証できる要求には入力状態、運転条件、期待結果、許容限界、測定方法を含める。社内標準は出発点であり、最終判断は実機、工程、作業者、設置場所で確認する。

2. 四つの層を同時に見る

機能と荷重では、定格、始動、衝撃、芯ずれ、異常、復旧を分け、システム全体の流れを追う。慣性、温度、通信遅延、圧力、洗浄、作業者の操作、実際のサイクル数を含める。実装では、機械、制御、ソフト、データ、作業票で同じ要求を作れて測れるかを確認する。インターフェースでは基準、信号、識別子、向き、アクセス、引渡し、変更権限を定義する。運転と保全では、交換、復旧、清掃、調整、基準値へ戻す証拠を実機で見る。

3. このテーマの基本チェック

サイクルの各段階、標準時間、最悪時間：各段階に標準時間と最悪時間を書き、遅れたときにどの段階が別の段階の余裕を食うのかを記す。
センサ、アクチュエータ、通信、制御器の応答：センサ、アクチュエータ、通信、制御器の応答を分けて把握する。何を測っているのか分からないタイムアウトは意味を持たない。
物理的な故障モードに結び付けたタイムアウト：タイムアウトの値は物理的な故障モードに結び付ける。「十分長そうだから」で決めた値は、作動したときに運転者へ何も伝えない。
再試行の上限、警報、保持する診断情報：再試行の上限、警報、保持する診断情報を決める。三回目の再試行が一回目と区別できないようにしない。
応答が遅れた後の安全停止と再起動：応答が遅れた場合の安全停止と再起動の条件を定める。何事もなかったようにシーケンスを続けさせない。
最小・最大の負荷、温度、圧力での測定：負荷、温度、圧力の最小と最大で測定する。最悪値が実際に現れるのはそこである。

証拠のないチェックは完了ではない。「確認した」は「計算した」と同じではなく、「計算した」も「境界で試験した」と同じではない。要求の隣に証拠番号を置く。

4. ばらつきと故障モード

機能入力から守る特性までの連鎖を作り、公称、最悪値、工程が安定した場合だけ統計値を分ける。人の操作、遅延、データ欠落、摩耗、汚れ、復旧時間を含める。機械タイミングでは特に、cycle-time budget, response variation, timeout evidence, retries, and safe stopを境界条件で確認する。

故障モード	症状	確認
境界を楽観視	デモは通るが運転や異常で停止	最小・最大と異常条件で試験
機能と無関係な要求	がた、拘束、誤状態、誤記録	機能基準から再構築
工程やデータを省略	ずれ、欠落、復旧不能	ルートと重要段階を測定
復旧を未設計	停止が長い、安全に再開できない	中断・復旧トライアル
文書が不一致	改訂や設定が違う	図面、ソフト、レシピ、作業票を基準化

5. 発行と現場レビュー

機能に意味があり検査できる要求だけを書く。特殊要求には範囲、基準またはデータ源、条件、合否限界を示す。「注意して扱う」だけでは行動は決まらない。根拠、改訂、前提、レビュー、試作・FAT、変更後の再確認点を保管する。実機では始動、通常運転、停止、再始動、中断、管理された異常を通し、力、温度、タイミング、アラーム、識別子、接触痕、交換・復旧時間を記録する。

6. MINATA発行チェック

[ ] 機能、入力、サイクル、異常境界を記載した。
[ ] 材料、工程、制御、データ、検査方法を合意した。
[ ] 機能インターフェースと責任者が見える。
[ ] 六項目に証拠と合否基準がある。
[ ] 選択、組立、復旧、誤操作防止を実機で試した。
[ ] 故障モードに担当者、証拠、再試験条件がある。
[ ] サプライヤーと受入記録が改訂・ロットに紐付く。
[ ] 立上げ基準と保全対応を定義した。

この主題が単純化されやすい理由

試運転では、まず機械を動く状態にすることが優先されます。時間に関する判断はタイマの数値として埋め込まれ、なぜその値なのかは残りません。量産へ移ると、その数値がそのまま仕様になり、根拠を誰も説明できなくなります。

サイクル時間を要素に分解する

指令の処理、制御周期の走査、通信の伝送、機器の応答、動作そのもの、センサの整定、接点のちらつき除去、完了の確認。これらを分けて書き出します。名目上の合計だけでは足りません。それぞれの上限値と、ばらつきの原因も必要です。

制限時間は状態と結び付ける

同じ機器でも、原点復帰のとき、生産中、保全作業中、低温での立上げでは、妥当な制限時間が違います。どこでも同じ値を使う一つのタイマは、その違いを隠してしまいます。

制限時間、監視タイマ、期限は別のもの

制限時間 — 一つの動作が終わるまでを見張る。
監視タイマ — ある機能がもう動いていないことを検出する。
期限 — その時刻を過ぎたら結果に意味がなくなる境目。

三つを混ぜると、反応の仕方を間違えます。動作が遅いだけなのに機能が死んだと判断したり、逆に意味を失った結果を受け入れたりします。

無限の再試行は使わない

再試行には回数の上限、間隔の広げ方、取引の識別子、打ち切りの条件が要ります。再試行が動作をもう一度起こしたり、製品をもう一つ作ってしまう可能性があるなら、繰り返しても安全になるよう設計します。

実機で測る

想定した数値と実測は必ず違います。立上げのときに、要素ごとの実測値、条件、測定方法、担当者を記録し、その値を基準として残します。部品交換や設定変更の後は、同じ基準に戻ったことを数字で確認します。

8. まとめ

良い設計は、製造、運転、保全、変更を通過する明示された前提の連鎖である。機械タイミングについて問うべきなのは「動くか」だけでなく、「境界が動いても動き続ける証拠は何か」である。これがMINATAの基準である。

まとめ

タイミング予算とタイムアウトは、プロジェクトの最後に付け足すロジックではなく、アーキテクチャとライフサイクルの問題である。状態、識別、操作権限、データ、復旧のそれぞれに明確な取り決めがあれば、機械は運転しやすく、調査しやすく、変更しやすくなる。最初にプログラムを書いた人の記憶に頼らずに済む。

MINATAの技術記事をすべて見る