フェイルセーフ

工学において、フェイルセーフとは、設計上の機能に障害が発生した場合に、他の機器、環境、または人への危害が最小限またはまったくない方法で本質的に反応する設計機能または実践です。特定の危険に対する固有の安全性とは異なり、システムが「フェイルセーフ」であるということは、障害が自然に重要でないことを意味するのではなく、システムの設計によってシステムの障害による危険な結果が防止または軽減されることを意味します。「フェイルセーフ」システムが故障した場合、少なくとも故障前と同じくらい安全です。^{[1] [2]}さまざまなタイプの障害が発生する可能性があるため、故障モード影響分析を使用して障害状況を調べ、安全設計と手順を推奨します。^[3]

一部のシステムは継続的な可用性が求められるため、フェイルセーフにすることはできません。このような状況では、冗長性、フォールトトレランス、または緊急時対応計画が使用されます（例：複数の独立制御および燃料供給エンジン）。^[4]

例:

• 建物の警報システムまたはローカル煙探知器によって作動するローラーシャッター防火扉は、電源に関係なく、信号が送られると自動的に閉まる必要があります。停電の場合、コイル式防火扉は閉まる必要はありませんが、建物の警報システムまたは煙探知器から信号が送られると自動的に閉まる必要があります。温度に敏感な可溶性リンクを使用して、重力または閉鎖スプリングに抗して防火扉を開いたままにすることができます。火災が発生した場合、リンクが溶けて扉が解放され、扉が閉まります。
• 空港の手荷物 カートの中には、ハンドブレーキ スイッチを常に押し続ける必要があるものがあります。ハンドブレーキ スイッチを離すとブレーキが作動し、ブレーキ システムの他の部分がすべて正常に動作していれば、カートは停止します。ハンドブレーキの保持要件は、このように「フェイルセーフ」の原則に従って動作し、システムのフェイルセキュリティに貢献します (ただし、必ずしも保証されるわけではありません)。これはデッドマン スイッチの例です。
• 芝刈り機や除雪機には、常に押し下げておかなければならない手動閉鎖レバーが付いています。このレバーを放すと、ブレードまたはローターの回転が停止します。これはデッドマンスイッチとしても機能します。
• 鉄道車両のエアブレーキとトラックのエアブレーキ。ブレーキは、ブレーキシステムで発生した空気圧によって「オフ」の位置に保持されます。ブレーキラインが破断したり、車両が連結解除されたりすると、空気圧が失われ、トラックの場合はバネによって、列車の場合はローカルエアリザーバーによってブレーキがかかります。空気ブレーキシステムに深刻な漏れがあると、トラックを運転することは不可能です。(トラックは、空気圧が低いことを示すためにウィグワグを使用することもあります。)
• 電動ゲート – 停電の場合、クランクや鍵を使わずに手でゲートを開けることができます。ただし、これでは事実上誰でもゲートを通過できるため、フェイルセーフ設計が採用されています。停電の場合、ゲートは手動クランクでしか開けられません。手動クランクは通常、安全な場所または鍵のかかる場所に保管されています。このようなゲートが車両による住宅へのアクセスを提供する場合は、消防隊がアクセスできるようにドアが開くフェイルセーフ設計が採用されています。
• 安全弁 -流体で動作するさまざまなデバイスでは、フェイルセーフ機構としてヒューズまたは安全弁が使用されます。

• 鉄道の腕木式信号機は、信号を制御するケーブルが切断された場合にアームが「危険」位置に戻り、動作していない信号機を列車が通過できないように特別に設計されています。
• たとえば危険物質を含むシステムで使用される遮断弁や制御弁は、電源喪失時にバネ力などによって閉じるように設計できます。これは電源喪失時のフェールクローズと呼ばれます。
• エレベーターには、エレベーター ケーブルの張力によってブレーキ パッドから離れた位置に保持されるブレーキが付いています。ケーブルが切れると張力が失われ、ブレーキがシャフト内のレールに引っ掛かり、エレベーターのキャビンが落下しないようにします。
• 車両エアコン – 霜取り制御では、霜取り以外のすべての機能のダイバータダンパー操作に真空が必要です。真空が機能しなくなった場合でも、霜取りは引き続き使用できます。

例:

• 多くのデバイスは、ヒューズ、回路ブレーカー、または電流制限回路によって短絡から保護されています。過負荷状態で電気が遮断されると、過熱による配線や回路デバイスの損傷や破壊が防止されます。
• 航空電子工学^[5]は冗長システムを使用して、 3つの異なるシステムで同じ計算を実行します。異なる結果はシステムに障害があることを示します。^[6]
• アクセルポジションセンサーなどのドライブバイワイヤおよびフライバイワイヤ制御には、通常、反対方向に読み取る2つのポテンショメータがあり、制御を動かすと、一方の読み取り値が高くなり、もう一方の読み取り値は通常同じくらい低くなります。2つの読み取り値の不一致はシステムに障害があることを示しており、 ECUは2つの読み取り値のどちらに障害があるかを推測できることが多いです。^[7]
• 信号機制御装置は、衝突監視ユニットを使用して故障や衝突信号を検出し、潜在的に危険な衝突信号（例えば全方向を緑にする）を表示するのではなく、交差点を全点滅エラー信号に切り替えます。^[8]
• コンピュータ システムでハードウェアまたはソフトウェアの障害が検出された場合の、プログラムや処理システムの自動保護。典型的な例はウォッチドッグ タイマーです。「フェールセーフ (コンピュータ)」を参照してください。
• 回路の故障やオペレータのエラーが発生した場合に、システムの不適切な機能や壊滅的な劣化を防ぐ制御操作または機能。たとえば、鉄道の閉塞信号を制御するために使用されるフェイルセーフトラック回路。多くの鉄道路線で点滅するオレンジ色の方が点灯するオレンジ色よりも許容範囲が広いという事実はフェイルセーフの兆候であり、リレーが機能していない場合は、より制限的な設定に戻ります。
• バチスカーフの鉄ペレットバラストは、潜水艦が浮上できるように投下されます。バラストは電磁石によって固定されています。電源が切れるとバラストが解放され、潜水艦は安全な場所まで浮上します。
• 多くの原子炉の設計では、中性子を吸収する制御棒が電磁石で吊り下げられています。電源が失われると、制御棒は重力で炉心内に落下し、核分裂の継続に必要な中性子を吸収して連鎖反応を数秒で停止させます。
• 産業オートメーションでは、アラーム回路は通常「通常閉じ」です。これにより、断線が発生した場合にアラームがトリガーされます。回路が通常開いている場合、実際のアラーム信号がブロックされ、配線障害が検出されません。
• アナログ センサーと変調アクチュエーターは通常、回路障害によって範囲外の読み取り値が得られるように設置および配線されます (電流ループを参照)。たとえば、ペダルの位置を示すポテンショメーターは、その全範囲の 20% から 80% までしか移動できないため、ケーブルが断線したりショートしたりすると、0% または 100% の読み取り値が得られます。
• 制御システムでは、非常に重要な信号を相補的なワイヤ ペア (<signal> と <not_signal>) で伝送できます。2 つの信号が反対の状態 (一方がハイ、もう一方がロー) のみが有効です。両方ともハイまたは両方ともローの場合、制御システムはセンサーまたは接続配線に問題があることを認識します。単純な障害モード (センサーの故障、ワイヤの切断またはプラグの抜き差し) は、これによって検出されます。例としては、SPDTセレクタ スイッチの通常開極(NO) と通常閉極(NC) の両方をコモンに対して読み取り、入力に反応する前にそれらの一貫性をチェックする制御システムがあります。
• HVAC 制御システムでは、ダンパーやバルブを制御するアクチュエータは、コイルの凍結や部屋の過熱を防ぐために、フェイルセーフになっている場合があります。古い空気圧アクチュエータは、内部ダイヤフラムに対する空気圧が失われると、内蔵スプリングがアクチュエータをホーム ポジションに押し戻すため、本質的にフェイルセーフでした。もちろん、ホーム ポジションは「安全な」位置である必要があります。新しい電気および電子アクチュエータでは、電力が失われたときにアクチュエータを自動的にホーム ポジションに駆動するために、追加のコンポーネント (スプリングまたはコンデンサ) が必要です。^[9]
• プログラマブル ロジック コントローラ(PLC)。PLC をフェイルセーフにするには、関連するドライブを停止するためにシステムに通電する必要はありません。たとえば、通常、緊急停止は通常閉じた接点です。停電が発生した場合、コイルと PLC 入力から直接電力が遮断されます。これがフェイルセーフ システムです。
• 電圧レギュレータが故障すると、接続された機器が破損する可能性があります。クローバー（回路）は、過電圧を検出するとすぐに電源を短絡させることで損傷を防ぎます。

物理的なデバイスやシステムと同様に、手順が実行されなかったり、誤って実行されたりしても危険な動作が発生しないように、フェイルセーフ手順を作成することができます。例:

• 宇宙船の軌道 - 初期のアポロ計画の月へのミッションでは、宇宙船は自由帰還軌道に乗せられていました。つまり、月周回軌道投入 時にエンジンが故障したとしても、宇宙船は安全に地球に帰還するはずでした。
• 航空母艦に着陸する航空機のパイロットは、着陸時にスロットルを全開にする。アレスティングワイヤーが航空機を捕捉できなかった場合、航空機は再び離陸することができる。これはフェイルセーフの実践例である。^[10]
• 鉄道信号では、列車に使用されていない信号は「危険」位置に維持する必要があります。したがって、制御されているすべての絶対信号のデフォルト位置は「危険」であり、列車が通過する前に、信号を「クリア」に設定するという積極的なアクションが必要です。この方法により、信号システムに障害が発生した場合、信号係が無能力になった場合、または列車が予期せず進入した場合であっても、列車に誤った「クリア」信号が表示されることはありません。
• 鉄道技術者は、鉄道信号が混乱を招いたり、矛盾したり、見慣れない様子を示したりした場合 (たとえば、電気系統の故障により、まったく点灯していないカラー信号など) は、「危険」を示しているものとして扱う必要があると指示されています。このようにして、運転手はシステムのフェイルセーフティに貢献します。

フェイルセーフ（絶対安全）装置はポカヨケ装置としても知られています。ポカヨケという用語は、品質管理の専門家である新郷茂雄氏によって造られました。 ^{[11] [12]}「失敗しても安全」とは、オランダのRoom for the RiverプロジェクトやThames Estuary 2100 Plan ^{[13] [14]}などの土木工学設計を指し、 500年に1度の洪水などの深刻な事態が発生した場合に備えて、被害を制限したり制限したりする柔軟な適応戦略や気候変動適応を組み込んでいます。 ^[15]

フェイルセーフとフェイルセキュアは異なる概念です。フェイルセーフとは、デバイスが故障しても生命や財産が危険にさらされないことを意味します。フェイルセキュア (フェイルクローズとも呼ばれる) とは、セキュリティ障害が発生した場合にアクセスやデータが悪意のある人物の手に渡らないことを意味します。これらのアプローチは、正反対の解決策を提案する場合があります。たとえば、建物が火災に見舞われた場合、フェイルセーフ システムではドアのロックが解除され、消防士が素早く脱出して中に入ることができますが、フェイルセキュアではドアがロックされ、建物への不正アクセスが防止されます。

フェールクローズの反対はフェールオープンと呼ばれます。

フェイル アクティブ オペレーショナルは、高度な冗長性を備えたシステムにインストールできます。これにより、システムのどの部分でも単一の障害を許容でき (フェイル アクティブ オペレーショナル)、2 回目の障害を検出できます (その時点でシステムは自動的にオフになります (分離、フェイル パッシブ))。これを実現する 1 つの方法は、3 つの同一システムをインストールし、不一致を検出する制御ロジックを使用することです。この例としては、慣性航法システムやピトー管など、多くの航空機システムが挙げられます。

冷戦中、「フェイルセーフポイント」とは、ソ連領空外にあるアメリカ戦略航空軍の核爆撃機にとって後戻りできない地点を指す言葉だった。攻撃命令を受けた場合、爆撃機はフェイルセーフポイントに留まり、2度目の確認命令を待つ必要があった。確認命令を受けるまで、爆撃機は爆弾を作動させたり、それ以上進撃したりはしなかった。^{[16]この設計は、アメリカの指揮系統のいかなる失敗も核戦争を引き起こすのを防ぐためのものだった。この用語の意味は、1962年の小説『}フェイルセーフ』の出版とともにアメリカの一般用語として定着した。

（他の核戦争指揮統制システムでは、核攻撃の開始を防ぐために敵の先制攻撃が発生していないことを継続的または定期的に証明する必要がある、反対の方式であるフェイルデッドリーが使用されていました。）

無料辞書『ウィクショナリー』で「フェイルセーフ」を調べてください。

• フェイルファストシステム
• 制御理論
• デッドマンスイッチ
• EIA-485
• エレガントな劣化
• ひどく失敗する
• 失敗は致命的
• フォールトトレランス
• IEC61508 規格
• インターロック
• 安全寿命設計
• 安全工学