フェールセーフとフールプルーフの違いとは？具体例で学ぶ安全設計

フェールセーフは「機械や部品が故障したときに、安全側へ移るようにする考え方」、フールプルーフは「人が間違えても、危険につながりにくくする考え方」です。どちらも安全設計の基本ですが、主に想定するきっかけが違います。

ただし、この名前を付ければ安全になるわけではありません。まず、その機械で何が危険なのか、故障時にどの状態へ移す必要があるのかを考えます。本記事では、身近な例と設計時の注意点を整理します。

メカトロザウルス

フェールセーフとフールプルーフってなに？
そもそも"安全"ってどんな状態なのかもよくわからん・・・！！

そんなあなたでも大丈夫。本記事を読むことで、安全設計の基礎知識を身につけることが出来ますよ。では、早速いきましょう！！

安全とリスクの関係

安全設計で目指すのは、許容できないリスクがない状態です。リスクは、危害のひどさと、その危害が起こる可能性を組み合わせて考えます。「けががどれだけ重いか」だけでも、「どれだけ起こりやすいか」だけでも判断できません。

評価方法にはマトリクス法、加算法などがあります。リスクは必ず数値の掛け算で求める、という意味ではありません。評価対象、使い方、危険にさらされる頻度などをそろえて見積もります。具体的な手順は厚生労働省のリスクアセスメントの資料を参照してください。

上図は、許容できるかどうかを考える概念図です。許容範囲は、設計者が都合よく決めてよいものではありません。適用する法令・規格、機械の使われ方、必要な保護方策を踏まえて判断します。

安全対策は、危険そのものを減らすところから

• 本質的安全設計：危険源をなくす、力や速度などを低減する。
• 安全防護・付加保護方策：ガードや保護装置などで危険への接近を防ぐ。
• 使用上の情報：残るリスクと、必要な使用・保守上の注意を伝える。

この順序を踏まえたうえで、故障や誤操作を想定します。警告文だけに頼ったり、フェールセーフやフールプルーフのどちらか一つで設計を完了したりしないことが大切です。厚生労働省「機械の包括的な安全基準に関する指針」に、機械のリスク低減の考え方が示されています。

フェールセーフとは？故障したときの安全を考える

フェールセーフでは、部品が壊れる、配線が切れるなどの故障を想定し、あらかじめ定めた安全な状態へ移るように設計します。厚生労働省「職場のあんぜんサイト」の解説では、停止だけでなく、代わりの安全機能を働かせる、危険に接近できないようにする、といった方法も挙げられています。

安全側の状態は、機械ごとに異なります。回転刃なら危険な回転を止める必要がありますが、つり上げた荷を保持する機械で、単に駆動力を失わせるだけでは荷が落下するかもしれません。「電源が切れる＝いつでも安全」と考えず、重力や残圧なども含めて検討します。

例：安全扉の配線が断線したら？

安全扉が閉じていることを確認して危険な動作を許可する機械を考えます。ここで重要なのは、扉が開いた場合だけでなく、確認用の配線や機器が故障した場合にも危険な運転を許さない設計です。必要な故障検出や回路構成は、リスク評価に基づいて決めます。単にスイッチを一つ追加すれば足りるとは限りません。

例：火災報知設備の「火災」と「断線」は区別する

火災報知設備には、感知器の配線の断線を故障として知らせるものがあります。たとえばホーチキの断線監視用終端器の説明では、断線時に受信機へ断線故障を表示する動作が示されています。これは火災そのものを知らせる信号とは別です。全ての火災報知器が「信号が途絶えたら火災」と判断する、と覚えないようにしましょう。

制御棒の挿入方向だけで、原子炉の安全性は判断できない

上の図は、代表的なBWRとPWRで制御棒を挿入する方向が異なることを示しています。ただし、上から入るか、下から入るかだけで、停電時の安全性を比較することはできません。

JAEAのATOMICAにあるBWR制御棒駆動装置の解説では、急速挿入に、アキュムレータに蓄えた窒素ガスの圧力を使う仕組みが説明されています。「BWRは電源がなくなると制御棒を挿入できない」という説明は不正確です。安全性を評価するには、挿入に使うエネルギー、作動の条件、故障への備えなど、実際の装置全体を見る必要があります。出典：ATOMICA「沸騰水型原子炉（BWR）の制御棒駆動装置」。

フールプルーフとは？人が間違えることを前提にする

フールプルーフでは、経験の浅い人だけでなく、慣れた人もミスをすることを前提にします。間違えた操作をしにくくする、または間違えても危険な結果につながりにくくする工夫です。厚生労働省「職場のあんぜんサイト」の解説も参照してください。

身近な例は、逆向きに差し込みにくいコネクタの形状や、必要な条件がそろわないと危険な動作を開始できない仕組みです。「どんな操作や故意の無効化をしても、絶対に事故が起きない」という保証ではありません。想定する誤使用と、対策で防げる範囲を明確にします。

例：自動車やバイクの始動・発進条件

自動車には、シフト位置やブレーキ操作などを始動条件とするものがあります。具体的な条件は車種・仕様で異なります。たとえばトヨタのカローラの取扱説明書では、P位置やブレーキペダルなどの始動手順を確認できます。なお、取扱説明書で駐車ブレーキの使用を指示していても、それが自動で検出される始動条件とは限りません。

私はバイクに乗るのが趣味なので、サイドスタンドのしまい忘れを防ぐ仕組みも身近に感じます。サイドスタンドとギヤ位置に応じてエンジンを停止させる装置を備えた車両では、スタンドを出したまま走り出すリスクを減らせます。車両ごとの動作条件は取扱説明書で確認してください。

写真はサイドスタンドを出した状態の例です。すべての車両に同じ機能があることや、故障時も必ず同じ動作をすることを示すものではありません。

同じ安全扉に、両方の考え方が必要になる

私が設計している工作機械にも、安全扉が閉まっていないと動作できない仕組みがあります。通常の加工運転で扉が開いているときに危険な動作を始めさせないのは、誤操作への備えです。さらに、扉の状態を確認する機器の故障を想定するところに、フェールセーフの考え方が関わります。

実際には段取り・保守など運転モードが複数あるため、各モードで許可する動作、速度、必要な保護方策を決めます。フェールセーフ＝被害のひどさを下げる、フールプルーフ＝発生確率だけを下げる、という一対一の区分ではありません。どちらもリスクを低減するために組み合わせて使います。

安全装置を無効化しにくくする配慮

安全装置が作業の妨げになると、外したり、無効化したりしたくなる場面も考えられます。そのような使われ方を予見し、無効化しにくい構造や、無理なく作業できる設計を検討することも大切です。「タンパープルーフ」という言葉で説明されることがありますが、これもあらゆる改造を完全に防げるという意味ではありません。次の投稿では、このような身近な工夫を紹介しています。

まとめ

• フェールセーフは、故障時に定めた安全側の状態へ移す考え方。
• フールプルーフは、人の間違いを防ぐ、または危険につながりにくくする考え方。
• リスクは危害のひどさと起こりやすさを組み合わせて評価する。
• 安全側は単純な停止とは限らない。使用条件と故障を具体的に想定する。
• 両方の考え方を、安全設計・保護方策・使用上の情報と組み合わせる。

身の回りの機械を見ると、「なぜこの順番で操作するのか」「なぜこの形なのか」に、安全のための工夫が見つかります。設計者としては、その工夫が正常なときだけでなく、人が間違えたとき、部品が壊れたときまで考えていきたいですね。

故障しにくさや、故障した後の直しやすさを数値で見る方法は、MTBF・MTTRと稼働率の解説にまとめています。安全性とあわせて、機械を長く使うための考え方を学びましょう。