デッドマンスイッチ

デッドマンスイッチとは、死亡、意識喪失、身体的な制御不能などにより操作者が無能力になった場合に作動または非作動になるように設計されたスイッチです。もともとは車両や機械のスイッチに適用されていましたが、その後、コンピューターソフトウェアなどの他の無形の用途を説明するために使用されるようになりました。

これらのスイッチは通常、フェイルセーフの一種として使用され、オペレータがいない機械の潜在的に危険な動作を停止したり、事故、故障、または誤使用の結果としてデバイスを無力化したりします。これらは、機関車、航空機の給油、貨物用エレベーター、芝刈り機、トラクター、水上バイク、船外機、チェーンソー、除雪機、トレッドミル、スノーモービル、遊園地の乗り物、および多くの医療用画像装置などの用途で一般的です。一部の機械では、これらのスイッチは、スロットルをアイドリングに下げたり、ブレーキをかけたりなど、機械を安全な状態に戻すだけで、機械は引き続き動作しており、制御が再確立されると通常の操作を再開する準備ができています。

デッドマンスイッチは、必ずしも機械を停​​止して危害を防ぐために使用されるわけではありません。このようなスイッチは、スプリング式スイッチを使用して回路を切断するだけでなく、回路を完成することもできるため、フェイルデッドリーとしても使用できます。これにより、デッドマンスイッチを使用して、爆弾や即席爆発装置などの有害な装置を起動できます。装置を起動するスイッチは、ユーザーの手からの継続的な圧力によってのみ「オフ」の位置に保たれます。スイッチを放すと装置は起動するため、ユーザーがスイッチを握っている間に気絶または死亡すると、爆弾が爆発します。特殊兵器緊急分離システムは、この概念を核兵器の分野に適用したものです。より極端なバージョンは、ロシアのデッドハンドプログラムです。これは、いくつかの条件が満たされた場合、ロシアの指導者全員が殺害された場合でも、核ミサイルを自動または半自動で発射することを可能にします。^[1]

似たような概念として、英国首相が4隻の英国弾道ミサイル潜水艦の艦長に宛てた手書きの最後の手段の手紙がある。そこには、英国政府が核攻撃で破壊された場合に取るべき行動についての命令が含まれている。首相が退任すると、手紙は開封されずに破棄される。

この概念は、機密情報が以前に暗号化されて公開されているコンピュータデータに採用されており、 Vault 7の場合のように、「スイッチ」は復号鍵の公開です。^[2]

関連するデバイスとしてキルスイッチがあります。

デッドマン制御への関心は、電気路面電車（北米では路面電車）、特に電化された高速輸送列車の導入とともに高まった。最初に広く使用されたのは、量産型のバーニー・ワンマン・セーフティ（トラム）カーの導入だったが、米国の路面電車では、左足で操作するデッドマンペダルと右足で操作するブレーキペダルおよびパワーペダルを備えたPCC路面電車が登場するまで、デッドマン装置はかなり稀であった。このレイアウトは、世界中のいくつかの現代の路面電車で引き続き使用されている。従来の蒸気鉄道では、機関士の他に常に2人目の人員である機関助手がおり、機関助手は必要に応じてほぼ常に列車を停止させることができた。^[3]電気機関車やディーゼル機関車も、理論上は1人でも操作できるにもかかわらず、 何十年もの間2人ずつの人員が割り当てられていた。

現代の都市鉄道や郊外鉄道では、運転手は通常、密閉された運転室に一人でいる。自動装置は、20世紀初頭にニューヨーク市地下鉄の新設列車にすでに導入され始めていた。1918年にブルックリン高速鉄道で発生したマルボーン通りの事故は、運転手の無能力が原因ではなかったが、運転手が無能力になった場合に列車を停止させる装置の普遍的な導入の必要性を促した。マンハッタン区の歴史家によると、デッドマンスイッチが効果的に使用された例は少なくとも1927年、1940年、2010年の3回あるという。^[4]

警戒スイッチとデッドマンスイッチの状態と動作は、列車のイベントレコーダー（一般にブラックボックスと呼ばれる）に記録される。現代の機関車では、デッドマンスイッチと警戒スイッチの機能を警報装置またはイベントレコーダーの制御下に組み込むのが一般的である。^[5]

多くのデッドマンスイッチは車両や機械のコントロールハンドルに取り付けられており、オペレーターがハンドルを握らなくなった場合に作動します。^[要出典]

ハンドルスイッチは、現代の路面電車や列車でも使用されています。空気圧または電気的にリンクされたデッドマンコントロールは、牽引力を調整する装置であるコントローラハンドルを比較的簡単に改造したものです。コントローラに圧力が維持されない場合、列車の緊急ブレーキがかかります。通常、コントローラハンドルは水平バーであり、回転して列車に必要な電力を適用します。ハンドルの下部にはロッドが取り付けられており、押し下げると制御ハウジング内のソレノイドまたはスイッチに接触します。圧力がなくなるとハンドルが跳ね上がり、ロッドと内部スイッチの接触が解除され、瞬時に電力が切断され、ブレーキがかかります。

このタイプのデッドマンコントロールが故障する可能性は考えられるが、実際には非常に信頼性が高いことが証明されている。初期の機器の中には、コントローラー全体に圧力がかかっているのではなく、コントローラーのハンドルから突き出ている大きなボタンに圧力がかかっているものがあった。このボタンも、通常は手のひらで押し続けて、ボタンがハンドルの上部と面一になるようにする必要がありました。特に、押したり引いたりするのではなく回転させる一部のレバータイプのコントローラーで使用される別の方法では、列車の運行中はレバーのハンドルを 90 度回転させ、その位置に保持する必要があります。一部のデッドマンコントロールは、中間位置でのみ機能し、最大圧力では機能しません (パイロットバルブを参照)。

たとえば、現代のニューヨーク市地下鉄では、デッドマンスイッチが列車の速度制御装置に組み込まれています。R142A 車両では、列車を動かすには、運転士がレバーを所定の位置に保持し続けなければなりません。

デッドマンスイッチを採用した乗用車の例としては、テスラの電気自動車が挙げられます。ドライバーが半自動運転システム「オートパイロット」を作動させた場合、ドライバーはハンドルから手を離さなければなりません。ドライバーがハンドルから手を離した時間が 30 秒を超えると、車内で大きなアラームが鳴り、眠っているドライバーを起こします。ドライバーが 1 分以上手を離すと、車はハザードランプを点灯し、車を停止させます。これは、オートパイロット システムが完全な自動運転ができないために行われ、車が解決方法を知らない問題に遭遇した場合に、ドライバーが警告なしに車の操作を引き継ぐことができる必要があるためです。このシステムは、車のハンドルに取り付けられたトルク センサーを使用します。ドライバーがハンドルを握っているだけでも、ハンドルにわずかなトルクがかかっており、車はドライバーが注意を払っていることを確認します。ドライバーがハンドルを強く回すと、すべての車両制御が直ちにドライバーに戻ります。^{[6] [7] [8]}

ハンドルに取り付けられたデッドマンスイッチは、多くの手持ち工具や芝刈り機にも使用されています。一般的には、鋸、ドリル、除雪機、芝刈り機など、回転したり刃が付いたりする工具です。たとえば鋸では、ハンドルに握り締め式のスロットルトリガーが組み込まれています。ユーザーが鋸を握らなくなると、スロットルトリガーのバネが鋸をオフまたはアイドル設定に押し戻し、刃の回転を止めます。一部の工具ではさらに進んで、銃の安全装置に似たトリガーガードがハンドルに組み込まれています。ユーザーが最初にトリガーガードを押し込んだ場合にのみ、トリガーのロックが解除され、トリガーを押し込むことができます。通常、トリガーガードは、ユーザーがハンドルをしっかりと握っている間のみ押し込むことができます。^[要出典]

1982 年以降に米国で販売されたすべての歩行型芝刈り機には、「オペレータープレゼンスコントロール」と呼ばれるデッドマンスイッチが装備されており、法律により、ユーザーがコントロールを離してから 3 秒以内に刃を停止する必要があります。 ^[9]ハンドルに取り付けられている機械式レバーは、フレキシブルケーブルでエンジンのキルスイッチに接続されています。芝刈り中、オペレーターは常にレバーをハンドルに押し付けなければなりません。オペレーターがハンドルを握る手を離すと、刃が外れるかエンジンが停止し、刃の回転と (装備されている場合) 駆動輪の回転が停止します。エンジンが停止する芝刈り機では、このスイッチ構成はエンジンのメインキルスイッチとしても機能します。オペレーターがエンジンを停止したいときは、デッドマンスイッチを意図的に離すことができます。^[要出典]

カナダのディーゼル電気鉄道機関車やノッティンガム・エクスプレス・トランジットの車両など、一部の車両では、路面電車の速度制御装置に運転士の手を感知する静電容量式タッチセンサーが取り付けられている。^[要出典]手を離した時間が短いと、軌道ブレーキが作動する。^[要出典]手袋を着用している場合は、タッチセンサーを作動させるために指のない手袋を着用する必要がある。タッチセンサーが故障した場合や、寒くて手袋を外せない場合に備えて、コントローラーの側面にバックアップのデッドマンスイッチボタンが用意されている。^[要出典]

ハンドルの代わりにペダルを使用することもできます。ペダル スイッチの中には、機械を作動させるために単に押し続ける必要があるものもありますが (このシステムは、乗り物が動いている間、オペレーターが長時間立ち続ける可能性のある娯楽用乗り物でよく見られます)、この方法にはいくつかの欠点があります。2003年にオーストラリアのシドニー南部で発生したウォーターフォール列車事故では、運転手が心臓発作で突然死亡し、体が倒れたためにペダルが踏み続けられました。

この問題には、現代のペダルシステムで使用されているいくつかの解決策があります。ペダルには警戒機能が組み込まれています（デッドマン警戒装置、ドライバー警戒装置、またはDVD）。^[10]この場合、ドライバーは可聴信号に応じてペダルを離し、再度踏み込む必要があります。これにより、上記の状況によって無効になることを防ぎ、ほとんどの英国のDSDシステムの標準機能になっています。^[11]タイマー期間が切れそうになると、視覚と聴覚による警告が発せられます。オペレーターが警告を認識しない場合は、ペナルティブレーキが適用されます。

一部のタイプの機関車には 3 段階ペダルが装備されており、通常は中央の位置に保持する必要があります。これにより、誤ってペダルを踏み外す可能性は減りますが、故意に踏み外す可能性は依然としてあります。このタイプのペダルに警戒機能を追加すると、非常に安全なシステムになります。ただし、機器の故障に備えて分離装置がまだ用意されているため、故意にペダルを踏み外す可能性は依然としてあります。このため、これらの分離装置には通常、不正開封防止シールが取り付けられています。

デッドマン スイッチは、車両や機械の座席の下に設置することもでき、運転者が座席に座ってスイッチを押していない場合に作動します。現代のトラクターでは、トランスミッションが作動しているか、動力取り出し装置が回転しているときに、スイッチによってエンジンが停止します。乗用芝刈り機では、スイッチはより極端な場合が多く、芝刈り機が駐車していて刃が回転していない場合でも、スイッチによってエンジンが停止します。シート スイッチは、小さな子供が車両を始動できないようにするためにも使用できます。これは、子供の体重が、青年または成人の体重に合わせて調整されたスイッチを完全に押し下げるには十分ではないためです。

ボート、水上バイク、スノーモービルなどのレクリエーション用車両や、多くの遊園地の乗り物のコントロールパネルでは、ユーザーまたはオペレーターは手首またはライフジャケットにコードまたはストラップを取り付けており、そのコードまたはストラップはデッドマンスイッチに取り付けられたキーに取り付けられています。ライダーが車両から落ちたり、オペレーターが少なくともコントロールから離れたりすると、デッドマンスイッチからコードが引き出され、エンジンが停止するか、スロットル位置が「アイドル」に設定されます。特に動力付きボートでは、このコードは「キルコード」と呼ばれることがよくあります（動力付きボートの場合、手首に巻くのはお勧めできません。エンジンを切らずに滑り落ちる可能性があるためです）。^{[12] [13]}操舵手が船外に落ちたり、コントロールから強制的に離れたりすると、エンジンが停止します。これにより、ボートは動力付きで制御不能な状態のまま走行し続けることがなくなり、水面下または水面外にいる人（落ちた可能性のある乗客やまだボートに乗っている乗客を含む）が負傷するリスクや、制御不能なボートの進路にある財産への衝突による損害のリスクがなくなります。これにより、ボート自体が他の物体に衝突して損傷するのを防いだり、制限したりすることができます。利便性のために、キルコードを操縦者ではなくボートの一部に固定して無効にすることは、一般的で危険な方法です。これが事故の原因となり、致命的または手足の切断を引き起こしたものもあります。^[14]

空港の荷物カートやエクササイズ用トレッドミルには、この機能が付いているものもあります。トレッドミルの場合、デッドマン スイッチは通常、ユーザーにクリップで留めるコードに取り付けられた外部磁石で構成されています。ユーザーが転倒したり、トレッドミルの電源を切らずに立ち去ったりすると、スイッチがトレッドミル ベルトへの電源を切断します。

情報セキュリティの分野では、ユーザーがコンピューターから離れた場合にコンピューターの電源をオフにするためにキルコードも使用されています。^{[15] [16]}

戦略航空軍は、特殊兵器緊急分離システム（SWESS）として知られる核爆撃機用のデッドマンスイッチを開発した。これは、敵の攻撃により乗組員が無力化された場合に核弾頭が確実に爆発するようにするものである。この装置の目的は、上記の他の例とは異なり、フェイルセーフではなくフェイルデッドであった。システムが作動すると、航空機が所定のレベルを下回った場合（通常は撃墜による ）に、搭載された核兵器が爆発する。 ^[17]

基本的なデッドマンシステムの主な安全上の欠陥は、故意または偶発的に作動装置が所定の位置に永久に保持される可能性があることである。この状態を検出するために、デッドマン装置を一時的に解除し、一定時間ごとに再度作動させることを要求する警戒制御が開発された。同様のシステムを自動車のクルーズコントロールに導入するという提案もある。^[18]

デッドマン スイッチのソフトウェア版は、一般的には技術的な専門知識を持つ人だけが使用し、保存されたメッセージや友人への通知の送信、データの削除や暗号化など、さまざまな目的に使用できます。これらをトリガーする「非イベント」は、 7 日間連続してログインに失敗する、自動メールに応答しない、ping、GPS対応電話が一定時間動かない、コンピュータの起動後数分以内にコードを入力しないなど、ほとんど何でもかまいません。ソフトウェア ベースのデッドマン スイッチの例としては、コンピュータの起動時に開始し、許可されていないユーザーが保護されたコンピュータにアクセスした場合に、ユーザーが指定したデータを暗号化または削除できるものがあります。Google の Inactive Account Manager ^[19]を使用すると、アカウント所有者は、長期間 (デフォルトは 3 か月) 使用されていない場合に、サービスにアクセスする別のユーザーを指名できます。一般に公開されているソリューションの中には、成長しているモバイル デバイス市場を活用したものもあります。自動メールを送信する代わりに、モバイルデバイスに直接プッシュ通知を送信し、^{[20] [21]}家族や友人にもっと便利な方法で警告することができます。

多くの宇宙船は、コマンド システムの障害を防ぐために、デッドマン スイッチの形式を使用しています。有効なコマンド (タイマーをリセットするだけの機能を持つコマンドを含む) を受信すると通常リセットされるタイマーが確立されます。タイマーが切れると、宇宙船は「コマンド損失」アルゴリズムに入り、有効なコマンドを受信するまで、ハードウェア モードまたはソフトウェア モードの事前定義されたシーケンス (バックアップ コマンド レシーバーの選択など) を循環します。宇宙船は、さらにコマンドを待つ間、安全モードに入り、自身を保護することもできます。

デッドマンスイッチと類似点があるものの、このタイプのデバイス（コマンドロスタイマー）は、人間のオペレーターの不在ではなくハードウェア障害からの回復を目的としているため、実際にはデッドマンスイッチではありません。これは一般にウォッチドッグタイマーと呼ばれ、原子力制御システムでも広く使用されています。宇宙船のシステムコンポーネントが、事前に定義された時間枠内にコマンドが受信されない場合に宇宙船をセーフモードにしたり、デフォルトの動作を実行したりするものはデッドマンスイッチと見なすことができますが、代替チャネルを介して人間のオペレーターからのコマンドを受信しようとするハードウェアまたはソフトウェアは、自動回復または適応型通信システムであり、デッドマンスイッチではありません。ボイジャー2号は、コマンドロスタイマーを使用してコマンド受信機の障害から回復しました。^[22]

ほとんどの列車では、「デッドマンハンドル」またはペダルによって基本的なレベルの保護が提供されます。運転手が病気になり、これを解除すると、電力が遮断され、緊急ブレーキが作動して列車が停止します。

最近の安全基準では、運転士がデッドマンハンドルの上にしゃがみ込んで、列車を制御できないにもかかわらずハンドルを押さえ続ける可能性があるため、この方法は適切ではないと考えられています。現代の列車は、デッドマンシステムに警戒システム^[23]を追加することでこのリスクを克服しています。ブザーまたはベルが約 1 分ごとに鳴り、運転士または機関士に警告します。運転士または機関士がコントローラーを動かしたり、デッドマンハンドルを離して再度押し付けたりして応答しない場合は、システムが自動的に緊急ブレーキをかけます。世界のほとんどの主要鉄道システムでは、貨物および旅客の両方でこの装置を使用しています。また、R143および他のニューヨーク市地下鉄車両でもCBTC運用中に使用されています。米国では、1995 年以前に製造された古い機関車には元々この機能が搭載されていませんでしたが、システムのモジュール性を考えると、後付けされることは珍しくありません。^[要出典]

一部の航空機では、パイロットが反応しない場合は低酸素症を最小限に抑えるために警戒制御を使用し、高度を下げます。^[24]

2019 年、Garmin G3000 は、パイロットが航空機のコントロールを操作できなかったり、システム プロンプトに応答しなかった場合に、航空機を最寄りの空港に自動的に迂回させて着陸させることができる初の一般航空用アビオニクス スイートになりました。この自動化機能は、コンピューティング、制御、ナビゲーション技術の進歩によって可能になりました。プライベート航空機は 1 人のパイロットだけで操縦されることが多いため、一般航空の環境では特に重要です。

「デッドマンズ・スイッチ」という用語は、ある人物に何かが起こった場合に損害を与える資料を公開すると脅迫する防衛的脅迫や保険ファイルの一種を表すために使用されることがある。 ^[25]

• バスキル
• セキュリティスイッチ
• 列車保護システム

• 「セクション 9. ウォッチドッグ、デッドマン、およびパワーアップ タイマー」。PIC32 ファミリー リファレンス マニュアル(PDF)。Microchip Technology Inc. 2013。DS60001114G。2024年 1 月 10 日にオリジナルからアーカイブ(PDF) 。2024年 1 月 10 日に取得。（26ページ）

ウィキメディア・コモンズには、デッドマンズ・スイッチに関連するメディアがあります。

• キルコード: ミリー RIB レポートからの教訓 2014-08-19 にWayback Machineでアーカイブ
• FRA規制