フェイル‐セーフ【fail-safe】
フェイルセーフ
フェイルセーフ
【英】：fail-safe
アイテムに故障が生じるとき, その機能は失われても, 安全性が保持されるように配慮する設計思想. 信頼性設計の際に考慮すべき重要な概念の1つ.危険性を伴う機械, 輸送機関, 原子力プラント等, それらの故障が安全性に重大な影響を及ぼす可能性のある設備・装置は多い. このような設備・装置においては, 故障をしても危険な方向に故障しないよう, 設計段階で工夫することが肝要である. このような配慮のもとでの設計をフェイルセーフ設計という.
| 信頼性・保全性： | ディペンダビリティ ネットワーク信頼性 ヒューマンファクター フェイルセーフ フォールトアボイダンス フォールトデバッギング フォールトトレランス |
フェイルセーフ
出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2025/03/24 14:52 UTC 版)
フェイルセーフ（フェールセーフ、フェイルセイフ、英語: fail safe）とは、なんらかの装置・システムにおいて、構成部品の破損や誤操作・誤動作による障害が発生した場合、常に安全側に動作するようにすること[1]、またはそう仕向けるような設計手法[2]で信頼性設計のひとつ[3]。これは装置やシステムが『必ず故障する』ということを前提にしたものである[2][4]。
概論
「フェイルセーフ」は「故障は安全な側に」というのが原意である[5]。機械は壊れたときに、自然にあるいは必然的に安全側となることが望ましいが、そうならない場合は意識的な設計が必要である。たとえば自動車は、エンジンが故障した場合、エンジンの回転を制御できないような故障ではなく、回転が停止するような故障であれば、自動車自体が止まることになり安全である。このため、回転を止めるような故障モードへ自動的に落とし込むような、安全性を優先する設計思想がフェイルセーフとなる[6]。
飛行機の場合は、エンジン故障で全推力を失っても滑空して無事着陸できる設計であればフェイルセーフである。ヘリコプターのエンジン停止においては、オートローテーションという飛行方法により飛行機同様滑空して着陸することができる。推力を失った場合に滑空出来ない機体設計の場合は、エンジンの搭載機数を増やし、その内一機が故障しても推力を失わない「フォールトトレラント」という、別の設計思想とETOPSなどの運用方法で対応する。フォールトトレラント設計で系統を冗長化する場合、それぞれの系統はフェイルセーフで設計され故障しても他の系統の動作を妨げない設計になっている。
宇宙船の場合は、宇宙船の損傷または制御の喪失を示す可能性のある場合、宇宙船の保存が最優先事項であり、重要でない科学機器などがシャットダウンされ、重要な機能のみがアクティブになるセーフモードがあり、これもフェイルセーフのひとつである。
ヒューズは、過電流が流れた場合にヒューズ自身が溶けて壊れることにより、それ以上の過電流を止めて基板等の焼損や出火を防止する。この点で、電気回路にヒューズを挿入することやヒューズそのものも一種のフェイルセーフであるといえる。
コンピュータシステムや操作している人間の不具合を検知するために、定められた周期で決められた信号を送り続け、相手側で信号の受信が無い場合に不具合とみなす仕組みをウォッチドッグタイマーやデッドマン装置と呼ぶ。
空気ブレーキ
鉄道車両は、（圧縮空気で動作する）ブレーキに故障があった場合、非常ブレーキがかかるように設計することがフェイルセーフとなる[7]。
たとえば、自動空気ブレーキにおいては、何らかの衝撃で車両間の連結が外れた場合は必ず非常ブレーキが作動するようになっている[7]。列車貫通ブレーキ管に空気圧をかけたとき、ブレーキが緩解するように設計されている。これによって、連結が外れて配管が切れた場合でも、各車両にある補助空気だめの圧力によって非常ブレーキがかかる。また一部の電車では、「非常ブレーキ指令線」と呼ばれる信号線を編成内に引き通し、断線等で信号が途切れると非常ブレーキが作動するよう設計されている[7]。
踏切
踏切の遮断機においては、「遮断棹が上がっている状態」を維持するために力をかけなければならないよう設計され[2]、これがフェイルセーフとなる。
この場合は、停電などが起きて遮断機が作動しなくなっても、重力によって自然と遮断棹は下りたままになり、踏切内への立ち入りを防止するようになっている[2]。なお、節電のため列車を運転しない時間帯に故意に送電を停止させている路線では、停電状態でも遮断棹が下がらないように調整することができる[要出典]。
信号機
道路
 | この節の加筆が望まれています。 |
鉄道
鉄道信号機では連動装置や軌道回路、線路に何らかの異常が発生した場合や停電となった場合、停止信号（赤信号）を表示する設計となっているため、冒進が防がれている[2]。
例えば自動閉塞方式を採用している路線では、軌道を介して閉塞の終端側にある送信用電源から、信号機などが設置されている受信側の軌道継電器まで常に電流が流れており、この電流を受信することにより信号は列車の進入を許可している。この一連の回路を軌道回路といい、回路となる閉塞区間内に列車が在線すると輪軸が左右のレールを短絡し、軌道継電器に電流が流れなくなるため信号は停止信号を表示する。一方でレールの破断など軌道回路を構成する部分の故障によって回路の電流が遮断されたりすると同様に軌道継電器に電流が流れなくなるため、信号は常に停止信号を表示するようになるのでフェイルセーフとなる。
ただし、倒木、土砂崩れ、路盤流出など、実際に列車の運行に危害を及ぼす被害が出ても、レールが破断せず、短絡もされない場合には無力であり、運転士の目視確認のみに頼ることにも限界があるため、危険が想定される箇所には土石流センサーや監視カメラを設置して補う場合もある。
また、信号機の無灯火状態は停止信号と同じ効力を持つと定められており[要出典]、これはソフトウェア面でのフェイルセーフである。
MIDI
MIDIでの音楽演奏中には音楽信号とは関係のない「アクティブセンシング」という信号を定期的（約300ミリ秒ごと）に出力している。出力側が「ノートオン」（音を出す命令）を出すと受信側は「ノートオフ」の信号を受信するまで音を出し続ける。しかし、ノートオン後に不具合が発生して「アクティブセンシング」の信号が受信できない場合は、強制的に音を止める。故障した場合は音が止まる方向で動作を停止するので、故障した機器を使わずにコンサートなどが続行できる（逆に故障時に音が出る方向で設計されていた場合、演奏に支障がある）。
脚注
- ^ “フールプルーフ[foolproofとフェイルセーフ[fail-safe]： i-Learning 株式会社アイ・ラーニング]”. www.i-learning.jp. 2024年1月7日閲覧。
- ^ a b c d e “Q6.フェールセーフとはどんな考え方ですか？ – 日本信号株式会社”. www.signal.co.jp. 2024年1月7日閲覧。
- ^ 日経クロステック（xTECH） (2010年3月15日). “フールプルーフの考え方として、適切なものはどれか”. 日経クロステック（xTECH）. 2024年1月7日閲覧。
- ^ Wragg, David W. (1973). A Dictionary of Aviation (first ed.). Osprey. p. 127. ISBN 9780850451634
- ^ 株式会社南山堂発行 「TEXT 麻酔・蘇生学」（1995年2月10日 第1版発行、ISBN 4-525-30841-9、p.301 「【臨床実習メモ】 フールプールとフェイルセーフ」より。2020年6月11日閲覧
- ^ “フェールセーフ（１） - 製品設計知識”. seihin-sekkei.com. 2024年1月7日閲覧。
- ^ a b c “「列車分離事故」で即ブレーキ作動！ 大惨事を防いだフェイルセーフシステムを解説”. 鉄道コム (2023年12月2日). 2024年1月7日閲覧。
関連項目
- 安全装置
- 信頼性設計
- 人間工学
- フォールトトレラント設計
- フェイルソフト - 障害が発生した際に、正常な部分だけを動作させ、全体に支障を来さないようにする。
- フォールトアボイダンス - 信頼性の高い機器を使用して、システムに故障が発生する確率を限りなくゼロに近づけていくこと。
- フェイルオーバー
- フールプルーフ
- デッドマン装置
- フェイルデッドリー
- コメット連続墜落事故
- 損傷許容設計
- バックアップ
- パッシブセーフティ
- 柔構造
 | この項目は、工学・技術に関連した書きかけの項目です。この項目を加筆・訂正などしてくださる協力者を求めています（Portal:技術と産業）。 |
フェイル・セーフ
出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2022/05/16 02:53 UTC 版)
「アロハ航空243便事故」の記事における「フェイル・セーフ」の解説
737型機の構造は、型式証明を取得した当時のフェイル・セーフ設計基準を満たすよう設計されていた。このフェイル・セーフの要求では、構造の一部が損傷しても残りの構造で安全を確保し、その損傷は容易に発見され修復されることが求められた。 この要求を満たすため、亀裂の成長を一定範囲に留める補強材（ティア・ストラップ）が胴体外板に貼り付けられていた。補強材を一定間隔に配置して外板に格子状の区画を作る。円筒軸方向に亀裂が成長すると、ストラップにより区画内の応力分布が変化して亀裂の成長方向が円周方向に変わる。すると、缶の蓋をあけるように外板がめくれ上がり、与圧の空気はそこから放出され穏やかな減圧が起きる。この減圧は胴体の残留強度に影響を与えない程度であり、めくれた外板も容易に発見できると考えられていた。 737型機の場合は開発時に試験が行われ、胴体外板に40インチ（約1メートル）の亀裂が生じても、亀裂が2区画内に留まり穏やかな減圧が起きることが実証されていた。 しかし、この基準は737型機が型式証明された1967年当時のもので、広範に無数の亀裂が生じてそれらが結合することまでは考慮されていなかった。事故機では複数の区画で同時多発的に疲労亀裂が生じたことでフェイル・セーフが機能しなかった。また、737型機の疲労試験には胴体全体ではなく、かまぼこ状の上半分の構造のみが用いられた。 事故機の残存部やアロハ航空の残りの737型機を調査した結果、リベット周辺から多数の疲労亀裂が発見されたほか、ティア・ストラップの接着不良があったことも確認された。事故調査委員会は、事故機にはティア・ストラップが機能しなくなるほどの疲労亀裂があったかティア・ストラップが剥離していた、あるいはその両方が発生していたと結論付けた。
※この「フェイル・セーフ」の解説は、「アロハ航空243便事故」の解説の一部です。
「フェイル・セーフ」を含む「アロハ航空243便事故」の記事については、「アロハ航空243便事故」の概要を参照ください。
フェイルセーフと同じ種類の言葉
- フェイルセーフのページへのリンク
