リスクを制御し、不確実性の中でも機能を維持する設計
Risk Control & Robustnessとは、製品や設備において発生し得るリスクを体系的に特定し、低減すると同時に、製造ばらつき、使用環境の変化、部品の
劣化、外乱、および予測困難な条件下でも、要求機能と性能を安定して維持できるようにする設計分野である。
各用語は、次のように整理できる。
Risk Control — リスクコントロールまたはリスク低減
Robustness — ロバスト性または堅牢性
Robust Design — ロバスト設計
Risk Control & Robustness — リスクコントロールおよびロバスト設計
Risk Controlとは、事故、負傷、設備損傷、品質不良、汚染、生産損失などの望ましくない結果について、その発生可能性と影響を低減する活動である。
Robustnessとは、入力条件、部品特性、工程ばらつき、および使用環境が変化しても、製品が要求された機能を安定して実行できる能力である。
この二つの概念は、互いに密接に関連している。
リスクを低減するために安全装置を設置しても、その安全装置が温度、振動、汚染、または部品ばらつきに敏感であれば、実際の運転条件では安定したリ
スクコントロールを実現できない可能性がある。
逆に、製品が性能変動に対して強くても、危険な故障モードに対する保護手段がなければ、安全な設計とはいえない。
Risk Control & Robustnessは、次の問いから始まる。
どのような危険源が存在するか。
危険は、どのような条件で発生するか。
故障が発生すると、どのような結果につながるか。
リスクの発生可能性と被害の大きさは、どの程度か。
危険を設計そのものによって除去できるか。
保護装置が故障したり、無効化されたりする可能性はないか。
製造ばらつきが機能や安全性に影響するか。
温度、湿度、振動、汚染が性能に影響するか。
部品が摩耗または劣化しても機能を維持できるか。
一つの部品の故障が、システム全体の危険状態につながらないか。
予測していない使用条件に対して、システムはどのように反応するか。
制御パラメータやセンサ値が変化しても、安定性を維持できるか。
操作者の誤操作や誤設定を、どの程度まで許容できるか。
故障が発生する前に異常状態を検出できるか。
リスク低減手段が、製品寿命全体を通じて維持されるか。
Risk Control & Robustnessの主要な検討要素は、次のように整理できる。
Hazard Identification — 危険源の同定
Risk Estimation — リスクの見積り
Risk Evaluation — リスク評価
Inherently Safe Design — 本質的安全設計
Safeguarding — 保護方策
Information and Procedures — 情報および手順
Structural Robustness — 構造的ロバスト性
Functional Robustness — 機能的ロバスト性
Control Robustness — 制御ロバスト性
Environmental Robustness — 環境ロバスト性
Manufacturing Robustness — 製造ロバスト性
Tolerance and Margin — 公差と余裕
Fault Tolerance — フォールトトレランス
Diagnostics and Monitoring — 診断と状態監視
Verification and Validation — 検証と妥当性確認
Risk Controlの基本概念
Risk Controlとは、危険源を完全に除去するか、除去できないリスクを許容可能な水準まで低減するプロセスである。
リスクは一般に、次の要素の組合せとして理解できる。
リスク = 被害の重大さ × 発生確率
必要に応じて、危険への暴露頻度を含め、次のように評価することもできる。
リスク = 被害の重大さ × 危険への暴露頻度 × 事故発生確率
重要なのは数式そのものではなく、リスクを構成する要素を分離して評価することである。
事故が発生した場合、被害はどの程度重大になるか。
作業者は、危険にどの程度頻繁に暴露されるか。
危険状態が発生する可能性はどの程度か。
危険状態が実際の事故につながる可能性はどの程度か。
危険を回避できるか。
Risk Controlは、単に警告ラベルを貼り付けたり、保護カバーを追加したりする活動ではない。
最優先すべきことは、危険を発生させる構造やエネルギーそのものを除去、または低減することである。
Robustnessの基本概念
Robustnessとは、設計がさまざまな変動と不確実性の中でも、要求機能を維持できる能力である。
製品が理想的な設計条件において正常に作動するだけでは十分ではない。
実際の製品には、次のような変動が存在する。
材料特性のばらつき
加工寸法のばらつき
組立誤差
センサのばらつき
電源変動
温度変化
湿度変化
摩擦係数の変化
潤滑状態の変化
部品摩耗
作業者による使用方法の違い
原材料や処理対象物の特性差
外部からの衝撃と振動
保守状態の違い
ロバストな設計は、これらの条件が変化しても、出力性能の変動を小さく抑えるように構成される。
ロバスト性は、次の関係として理解できる。
入力条件や環境条件が大きく変化しても、出力および機能の変化は小さくなければならない。
つまり、優れたロバスト設計とは、すべての変動を取り除く設計ではなく、避けることのできない変動が製品機能に与える影響を小さくする設計であ
る。
Risk ControlとRobustnessの違い
Risk ControlとRobustnessは、目的と評価方法に違いがある。
Risk Control
Risk Controlの主な目的は、次のとおりである。
負傷防止
危険エネルギーの制御
設備損傷の防止
火災および爆発の防止
食品または製品の汚染防止
環境被害の防止
生産損失の防止
主な問いは、次のとおりである。
何が危険なのか。
事故はどのように発生するのか。
被害をどのように除去または低減できるか。
Robustness
Robustnessの主な目的は、次のとおりである。
性能ばらつきの低減
機能安定性の確保
環境変化への対応
製造ばらつきの吸収
品質の一貫性確保
故障発生確率の低減
長期使用性の確保
主な問いは、次のとおりである。
どの変数が性能を不安定にするか。
敏感な設計変数は何か。
条件が変化しても機能を維持できるか。
Risk Controlは被害を低減することに重点を置き、Robustnessは変動に対する機能の安定性を高めることに重点を置く。
ただし、ロバスト性が低い場合、リスク低減手段自体も不安定になる可能性があるため、実際の設計では両者を一体として検討する必要がある。
リスクの主な種類
製品と設備のリスクは、さまざまな形で現れる。
機械的危険
代表的な機械的危険には、次のものがある。
切断
巻き込まれ
挟まれ
圧縮
せん断
衝突
突き刺し
落下
飛散
回転部との接触
突発的な移動
蓄積エネルギーの解放
機械的危険は、回転部、直線運動部、駆動部、刃物、ベルト、チェーン、歯車、シリンダの周辺で主に発生する。
電気的危険
主な電気的危険には、次のものがある。
感電
漏電
短絡
過電流
過熱
アーク
絶縁破壊
接地不良
予期しない再起動
熱的危険
熱的危険には、次のものが含まれる。
高温表面
低温による凍傷
蒸気
高温流体
過熱した軸受
火災
熱分解ガス
圧力および流体の危険
空圧、油圧、真空、および流体系では、次の危険が発生する可能性がある。
ホース破裂
残留圧力の放出
高圧流体の噴射
真空容器の破損
シリンダの急激な移動
バルブの誤作動
漏れ
騒音および振動の危険
高い騒音や振動は、次の問題を引き起こす可能性がある。
聴覚障害
疲労の増加
締結部の緩み
構造疲労
センサの誤作動
精度低下
化学的危険
化学物質に関連する危険には、次のものがある。
洗浄剤への暴露
潤滑油の漏れ
冷媒漏れ
溶剤蒸気
腐食性物質
有害粉じん
材料の分解生成物
衛生および汚染の危険
食品、医薬品、化粧品設備では、次の危険が重要である。
微生物汚染
金属異物
プラスチック片
潤滑油の混入
洗浄剤の残留
腐食生成物
交差汚染
洗浄できないデッドスペース
機能および制御の危険
制御システムでは、次の危険が発生する可能性がある。
センサ異常
誤った制御出力
通信断
ソフトウェアエラー
予期しない自動再起動
モード選択エラー
誤った設定値入力
安全信号と一般制御信号の混同
リスクコントロールの基本手順
Risk Controlは、一般に次の順序で実施する。
システムと使用範囲を定義する。
危険源を特定する。
危険状態と事故シナリオを作成する。
被害の重大さと発生可能性を見積もる。
リスク水準を評価する。
リスク低減方策を選定する。
残留リスクを再評価する。
リスク低減手段を検証する。
使用中に発生する新たなリスクを監視する。
設計変更時にリスク評価を更新する。
リスク評価は、一度だけ行う文書作成作業ではない。
設計、試作、生産、設置、運転、および保守の各段階で、繰り返し更新する必要がある。
システム範囲と使用条件の定義
リスクを評価する前に、製品がどのような範囲と条件で使用されるかを定義しなければならない。
意図した使用
意図した使用には、次の内容を含める。
製品の機能
処理対象
正常運転条件
使用場所
作業者の種類
生産量
運転時間
洗浄方法
保守方法
合理的に予見可能な誤使用
実際の使用者は、設計者が意図した方法だけで製品を使用するとは限らない。
次のような誤使用を考慮する必要がある。
安全カバーを開いた状態で運転する。
センサを無効化する。
過大な製品を投入する。
不適合な材料を投入する。
誤った設定値を入力する。
定格を超えて運転する。
非標準工具を使用する。
整備中に電源を再投入する。
洗浄後に誤って再組立する。
すべての異常使用を予測することはできないが、繰り返し発生する可能性が高い誤使用は、設計へ反映しなければならない。
製品ライフサイクル
危険は、正常運転中だけに発生するものではない。
次の段階をすべて検討する必要がある。
輸送
搬入
設置
試運転
正常運転
セットアップ
品種切替
洗浄
点検
故障修理
部品交換
解体
廃棄
Hazard Identification — 危険源の同定
危険源の同定は、リスクコントロールの出発点である。
危険源を見落とすと、その後のリスク評価と保護方策も不完全になる。
機能別の検討
各機能について、次の項目を検討する。
エネルギー源
可動部品
切断または圧縮要素
高温および低温
圧力
電気
有害物質
作業者のアクセス
故障時の状態
状態別の検討
製品の状態を区分して、危険を確認する。
停止状態
起動状態
正常運転
減速
通常停止
非常停止
保守モード
故障状態
電源復旧
通信断
インターフェース別の検討
部品やシステム間のインターフェースは、危険が発生しやすい領域である。
機械と作業者
機械と処理対象物
モータと駆動系
センサとコントローラ
機械系と電気系
機械系と空圧系
装置と上位システム
装置と周辺設備
過渡状態の検討
次のような状態変化の際には、リスクが増加する可能性がある。
モード切替
品種切替
速度変更
電源復旧
圧力再供給
カバー開放
手動・自動切替
工程開始と終了
Risk Estimation — リスクの見積り
リスクの見積りは、特定されたリスクがどの程度重要であるかを判断するプロセスである。
被害の重大さ
被害の重大さは、次のように区分できる。
軽微な負傷
治療を必要とする負傷
永続的障害
重傷
死亡
設備損傷
大規模な生産損失
製品回収
環境被害
暴露頻度
危険へどの程度頻繁に暴露されるかを評価する。
年1回未満
月1回
週1回
日1回
反復的または継続的な暴露
発生可能性
危険状態が実際に発生する可能性を評価する。
ほとんど起こり得ない。
低い。
起こり得る。
高い。
頻繁に発生する。
回避可能性
危険状態が発生した場合に、作業者が被害を回避できるかも考慮する。
十分に認識し、回避できる。
部分的に回避できる。
急速に発生するため回避が困難である。
危険を認識できない。
Risk Evaluation — リスク評価
リスク評価とは、見積もられたリスクが許容可能であるか、追加の低減が必要であるかを判断するプロセスである。
次の問いを検討する。
法令または業界要求を満たしているか。
類似製品と比較して妥当な水準か。
さらにリスクを低減できる技術的手段があるか。
追加のリスク低減費用は過度ではないか。
リスク低減によって新たな危険が発生しないか。
使用者が残留リスクを理解できるか。
リスク低減手段が製品寿命全体を通して維持されるか。
重大な被害について、発生確率が低いという理由だけで許容してはならない。
特に死亡または重大な負傷につながる危険については、発生可能性が低くても、本質的安全設計と多重保護方策を検討する必要がある。
リスク低減の優先順位
リスク低減は、一般に次の順序で行う。
危険を除去する。
危険なエネルギーや性能を低減する。
本質的安全設計を適用する。
ガードと安全機能を適用する。
警告と情報を提供する。
作業手順と教育を設定する。
個人用保護具を使用する。
上位の対策ほど、作業者の行動への依存度が低い。
例えば、刃物の危険を警告ラベルだけで管理するよりも、刃物へアクセスできない構造を適用する方が強いリスク低減方策となる。
Inherently Safe Design — 本質的安全設計
本質的安全設計とは、保護装置を追加する前に、設計そのものによって危険を除去または低減する方法である。
危険エネルギーの低減
次の要素を低減できる。
速度
力
トルク
圧力
温度
電圧
蓄積エネルギー
移動距離
機能に必要な水準を超えるエネルギーは、危険と損傷を増加させる可能性がある。
危険形状の除去
次の形状を削減または除去する。
鋭利なエッジ
露出した回転部
狭い挟まれ箇所
せん断点
突出部
引っ掛かり形状
予期しない落下経路
安全な配置
危険部を作業者のアクセス領域から離して配置できる。
駆動部を内部に配置する。
危険な配管を分離する。
高温部を遮蔽する。
電装領域と洗浄領域を分離する。
作業領域と整備領域を分離する。
安定した安全状態
電源または圧力が失われた場合、システムが安全状態へ移行するよう設計する。
例として、次のものがある。
重力によって閉じるバルブ
無通電時に作動するブレーキ
圧力喪失時に停止するアクチュエータ
電源復旧後の自動再起動防止
Safeguarding — 保護方策
本質的に除去できない危険には、ガードと安全機能を適用する。
固定式ガード
固定式ガードは、工具を使用しなければ容易に取り外せず、運転中に危険部へのアクセスを防止する。
主な適用対象は次のとおりである。
ベルト
チェーン
歯車
回転軸
ファン
カップリング
高温部
可動式ガード
可動式ガードは、点検、洗浄、または製品投入のために開放できる構造である。
次の項目を検討する必要がある。
ヒンジ
ロック装置
開放方向
インターロック
開放状態の保持
閉鎖状態の確認
インターロック
インターロックは、保護カバーが開かれた場合や異常状態が検出された場合に、危険動作を遮断する。
インターロック設計では、次の項目を考慮する必要がある。
センサ配線の断線
接点溶着
位置ずれ
無効化の可能性
振動
汚染
洗浄水
再起動条件
故障診断
非常停止
非常停止は、危険状態において設備を速やかに停止させるための手段である。
ただし、非常停止は本質的な危険除去の代わりにはならない。
非常停止は、次の条件を満たす必要がある。
容易に識別できる。
作業者が迅速にアクセスできる。
作動状態が保持される。
手動でリセットしなければならない。
リセットだけで自動再起動しない。
停止後の残留危険を管理する。
制限速度と制限運転
保守や設定作業では、速度やエネルギーを制限できる。
低速運転
ジョグ運転
ホールド・ツー・ラン操作
特定軸だけの動作
トルク制限
安全監視速度
Information and Procedures — 情報および手順
設計と保護装置によって除去できない残留リスクは、使用者へ明確に伝達しなければならない。
警告表示
警告表示には、次の情報を含めることができる。
危険の種類
危険が存在する位置
予想される結果
避けるべき行動
必要な保護対策
取扱説明書
取扱説明書には、次の内容が必要である。
正常運転方法
禁止される使用方法
安全なセットアップ
洗浄方法
保守方法
エネルギー遮断方法
残留リスク
点検周期
交換部品
異常状態への対応
作業者教育
教育は設計上のリスクコントロールを補完できるが、教育だけで構造的な危険を代替してはならない。
Structural Robustness — 構造的ロバスト性
構造的ロバスト性とは、荷重、衝撃、振動、疲労、および製作品質が変動しても、構造が要求機能を維持できる能力である。
荷重変動
実際の荷重は一定ではない。
次のような荷重変動を考慮する必要がある。
製品重量の変化
衝撃荷重
偏心荷重
急加速と急停止
製品詰まり
作業者による荷重
輸送中の衝撃
組立誤差による追加荷重
安全率
安全率は、不確実性を吸収するための基本的な方法である。
安全率 = 材料または構造の許容能力 ÷ 実際に要求される荷重
ただし、高い安全率だけでロバスト性が確保されるわけではない。
次の項目も併せて検討する必要がある。
荷重経路
応力集中
疲労
溶接品質
腐食
劣化
座屈
締結部の緩み
荷重経路
荷重がどのような経路を通して支持構造へ伝達されるかを明確にする必要がある。
荷重経路が不明確である場合、特定部品へ予測していない荷重が集中する可能性がある。
局部応力集中
次の部位では、応力集中が発生しやすい。
急激な断面変化
小さなコーナ半径
キー溝
ねじ山
溶接端部
穴の周辺
締結部
ロバストな構造は、局部的な応力集中を低減し、荷重を広い範囲へ分散する。
Functional Robustness — 機能的ロバスト性
機能的ロバスト性とは、使用条件や部品状態が変化しても、製品の主要機能を安定して維持できる能力である。
例えば切断設備では、次の条件が変化する可能性がある。
製品温度
製品硬度
水分含有量
製品寸法
投入位置
刃物摩耗
送り速度
摩擦係数
機能的ロバスト性を向上させるためには、次の項目を検討する。
機能範囲を明確に定義する。
敏感な入力変数を特定する。
許容範囲全体で性能を確認する。
自動補正機能を適用する。
調整範囲を制限する。
故障時または限界条件で安全に停止する。
Control Robustness — 制御ロバスト性
制御ロバスト性とは、センサ誤差、負荷変動、通信遅延、およびモデルの不確実性が存在しても、制御システムが安定して機能できる能力である。
センサ変動
センサ値は、次の要因によって変動する可能性がある。
温度
振動
電気ノイズ
汚染
取付位置
ケーブル長
電源変動
長期的なドリフト
一つのセンサ値へシステム全体を過度に依存させると、ロバスト性が低下する可能性がある。
信号検証
次の方法によって、センサ異常の影響を低減できる。
範囲チェック
変化率チェック
相互比較
冗長センサ
時間遅延の確認
信号不一致の診断
フィルタリング
制御パラメータの感度
制御パラメータがわずかに変化しただけでシステムが不安定になる場合、ロバスト性が低い。
次の項目を検討する必要がある。
ゲインの変化
負荷慣性の変化
摩擦の変化
遅延時間の変化
サンプリング時間
速度と加速度の範囲
通信異常
通信が切断または遅延した場合に、システムがどの状態へ移行するかを定義しなければならない。
最後の指令を保持する。
安全停止する。
制限運転へ移行する。
ローカル制御へ切り替える。
故障コードを表示する。
危険な動作においては、不確定な状態を維持するよりも、定義された安全状態へ移行する方が望ましい。
Environmental Robustness — 環境ロバスト性
環境ロバスト性とは、温度、湿度、水、粉じん、振動、および化学物質が変化しても、製品が機能を維持できる能力である。
温度
温度は、次の要素に影響する。
材料強度
潤滑剤の粘度
シールの弾性
センサ精度
バッテリ性能
電子部品寿命
熱膨張
すきま
湿度と水
湿気と洗浄水は、次の問題を引き起こす可能性がある。
腐食
絶縁性能の低下
コネクタ接触不良
センサ誤作動
潤滑剤の流失
微生物増殖
振動と衝撃
振動と衝撃は、次の問題を引き起こす可能性がある。
締結部の緩み
配線断線
センサ位置のずれ
溶接部疲労
コントローラ誤作動
精度低下
化学物質
洗浄剤、潤滑剤、および工程物質が材料へ及ぼす影響を検討する必要がある。
腐食
膨潤
亀裂
硬化
軟化
コーティング剥離
シール劣化
Manufacturing Robustness — 製造ロバスト性
製造ロバスト性とは、材料、加工、組立、および供給者能力にばらつきが存在しても、製品品質を安定して維持できる能力である。
寸法ばらつき
各部品が許容公差内にあっても、組立公差の累積によって機能が低下する可能性がある。
そのため、次の項目を検討する必要がある。
公差累積
基準面の一貫性
組立すきま
位置決め方式
調整範囲
互換性
工程能力
設計公差が工程能力よりも著しく厳しい場合、不良と再作業が増加する。
ロバストな設計は、機能上必要な公差と実際の工程能力とのバランスを取る。
供給者ばらつき
同じ公称仕様の部品であっても、供給者によって実際の特性が異なる場合がある。
主な検討項目は次のとおりである。
寸法
材料
硬さ
表面粗さ
潤滑状態
電気特性
応答速度
寿命
組立作業者のばらつき
作業者の熟練度の違いが製品性能へ大きな影響を与える場合、製造ロバスト性は低い。
次の方法によって、ばらつきを低減できる。
位置決め構造
標準締付けトルク
組立治具
誤組立防止
自動検査
作業標準
Tolerance and Margin — 公差と余裕
ロバスト設計では、要求性能と実際の能力の間に十分な余裕を確保する必要がある。
性能余裕
性能余裕 = システム能力 − 最大要求条件
例えば、モータの利用可能トルクが最大要求トルクとほぼ同じである場合、わずかな摩擦増加や電圧低下だけで機能を失う可能性がある。
寸法余裕
組立すきまと嵌合公差は、加工ばらつき、コーティング厚さ、熱膨張、および汚染を考慮しなければならない。
温度余裕
部品の許容温度と予想運転温度の間には、十分な余裕が必要である。
電気的余裕
次の項目を検討できる。
電流余裕
電圧余裕
電力余裕
絶縁余裕
熱的余裕
ディレーティング
ディレーティングとは、部品を最大定格より低い条件で使用する方法である。
次の効果がある。
発熱低減
寿命延長
環境変化への対応
故障率低減
ただし、過度なディレーティングは寸法と費用を増加させるため、合理的な水準で適用する必要がある。
Fault Tolerance — フォールトトレランス
Fault Toleranceとは、一部の部品が故障しても、システム全体が危険状態へ移行せず、制限された機能を維持するか、安全に停止できる能力である。
Fail-Safe
Fail-Safeとは、故障時に安全な状態へ移行する設計である。
例として、次のものがある。
電源喪失時にブレーキが作動する。
圧力喪失時にバルブが閉じる。
センサ断線時に運転を禁止する。
通信断時に安全停止する。
Fail-Operational
Fail-Operationalとは、一部の故障が発生しても、制限された機能で運転を継続できる設計である。
安全よりも運転継続性が重要なシステムで適用される場合があるが、故障状態で追加の危険が発生しないようにする必要がある。
冗長性
冗長性とは、同一または代替可能な機能を複数の経路で提供する方法である。
二重センサ
二重電源
二重通信
補助ブレーキ
並列ポンプ
冗長性は信頼性を高める可能性があるが、構造と診断を複雑にし、共通原因故障を発生させる可能性もある。
共通原因故障
冗長部品が同じ原因によって同時に故障する可能性がある。
例として、次のものがある。
同一電源の使用
同一ソフトウェアエラー
同一環境への暴露
同一配線経路
同一製造不良
冗長性では、単に部品を二つ使用するだけでなく、相互の独立性を確保する必要がある。
Diagnostics and Monitoring — 診断と状態監視
ロバストなシステムは、異常が重大な故障へ進展する前に、その状態を検出できなければならない。
状態監視項目
温度
振動
電流
圧力
流量
速度
位置
潤滑状態
摩耗量
運転時間
動作回数
傾向分析
単にしきい値超過を検出するだけでなく、変化傾向を監視することで、故障を早期に予測できる。
例として、次のものがある。
軸受振動の増加
モータ電流の上昇
サイクルタイムの増加
圧力低下
センサ誤差の増加
洗浄時間の増加
診断可能性
故障コードは、単に結果を示すだけでなく、想定原因と確認方法を提供する必要がある。
劣化への対応
部品が完全に故障する前に、次の段階的対応を行うことができる。
警告
性能制限
保守要求
安全停止
部品交換
リスクとロバスト性の分析手法
FMEA
FMEAは、各部品または機能の故障モードと、その影響を分析する方法である。
主な項目は次のとおりである。
機能
故障モード
故障原因
故障影響
現在の管理手段
重大度
発生度
検出度
改善措置
FMEAは、部品レベルと工程レベルの両方に適用できる。
FTA
FTAは、最終的な事故またはシステム故障から開始し、原因を論理的に追跡する方法である。
例として、次のものがある。
刃物が停止しない。
ガードが開いた状態で運転する。
製品汚染が発生する。
軸が破断する。
過熱が発生する。
FTAは、複数の故障の組合せが一つの事故へつながる構造を理解するために有効である。
HAZOP
HAZOPは、工程変数や設計意図から外れた状態を体系的に検討する方法である。
代表的な検討項目は次のとおりである。
流れがない。
流量が過大である。
圧力が高い。
温度が低い。
逆方向に流れる。
遅延する。
異なる物質が投入される。
What-If分析
「もし〜ならどうなるか」という問いによって、異常状態を検討する。
センサが故障した場合はどうなるか。
製品が詰まった場合はどうなるか。
作業者がガードを開けた場合はどうなるか。
電源が復旧した場合はどうなるか。
洗浄後にコネクタが濡れたままの場合はどうなるか。
Bow-Tie分析
Bow-Tie分析は、中心となる危険事象を基準に、原因、予防手段、結果、および緩和手段を関連付ける。
左側：事故原因
中央：中心となる危険事象
右側：事故結果
予防手段
緩和手段
感度分析
感度分析は、設計変数が変化した場合に、出力性能がどの程度変化するかを確認する方法である。
感度 = 出力変化量 ÷ 入力変化量
感度の高い変数には、設計変更、公差管理、または制御補正が必要である。
最悪条件分析
最悪条件分析は、各変数が最も不利な方向へ組み合わされた場合を評価する。
適用例は次のとおりである。
最大荷重
最低電圧
最大摩擦
最高温度
最低材料強度
最大公差累積
モンテカルロ分析
モンテカルロ分析は、入力変数の確率分布を使用し、さまざまな組合せを繰り返し計算する方法である。
これによって、次の項目を確認できる。
性能分布
不良発生確率
許容範囲を外れる可能性
敏感な変数
公差最適化
実験計画法
実験計画法は、複数の設計変数と環境変数の影響を体系的に評価する方法である。
主な目的は次のとおりである。
主要影響因子の特定
変数間の相互作用の確認
最適条件の選定
ロバスト条件の選定
Verification and Validation — 検証と妥当性確認
Risk Control & Robustnessは、分析文書だけでは完成しない。
実際の試験によって、設計が意図どおりに機能するかを確認する必要がある。
設計検証
設計検証では、設計結果が要求事項を満たしているかを確認する。
計算
シミュレーション
図面レビュー
コードレビュー
公差解析
回路レビュー
製品の妥当性確認
製品の妥当性確認では、実際の製品が実使用条件において要求機能を実行できるかを確認する。
機能試験
負荷試験
耐久試験
環境試験
衝撃試験
振動試験
洗浄試験
故障注入試験
誤使用試験
境界条件試験
正常条件だけでなく、限界条件も試験する必要がある。
最大負荷
最小負荷
低温
高温
低電圧
高湿度
センサばらつき
部品摩耗
製品特性の変動
長時間運転
故障注入試験
意図的に故障を発生させ、システムの反応を確認することができる。
センサ断線
通信断
圧力低下
モータ過負荷
ガード開放
ブレーキ異常
電源復旧
設計変更とリスク管理
設計変更は既存リスクを低減する一方で、新たなリスクを生み出す可能性がある。
次の変更を行う場合には、リスク評価を再実施する必要がある。
材料変更
モータ容量変更
制御ロジック変更
センサ変更
ガード構造変更
生産速度の増加
新しい処理対象物の導入
洗浄剤変更
部品供給者変更
ソフトウェア更新
変更した部分だけを見るのではなく、隣接システムと製品全体の機能に与える影響を検討しなければならない。
食品機械におけるRisk Control & Robustness
食品機械では、作業者の安全と製品衛生を同時に管理しなければならない。
刃物および切断部の危険
主なリスクは次のとおりである。
刃物への接触
製品詰まり除去中の切創
刃物交換中の負傷
高速回転部品の破損
刃物破片の飛散
リスク低減手段には、次のものがある。
アクセス防止構造
インターロック付きカバー
安全停止
専用刃物交換工具
刃物保管ケース
保守モード
残留回転の検出
製品詰まり
製品詰まりは、作業者が危険部へアクセスする主要な原因となる。
次の項目を検討する必要がある。
詰まりが発生しにくい搬送経路
自動逆転
トルク検出
詰まり警告
安全な除去空間
エネルギー遮断
専用除去工具
洗浄と安全
洗浄中はカバーが開かれ、主要部品が取り外されるため、通常運転とは異なる危険が発生する。
電源遮断
残圧除去
刃物保護
滑り防止
洗浄剤への暴露
高温水
誤組立防止
衛生ロバスト性
衛生性能も、環境や使用方法のばらつきに対してロバストでなければならない。
次の条件でも汚染が発生しないようにする必要がある。
繰返し洗浄
洗浄剤濃度の変化
水温の変化
ガスケット摩耗
組立ばらつき
製品特性の変化
作業者による洗浄方法の違い
耐食ロバスト性
ステンレス鋼であっても、塩分、塩素系洗浄剤、溶接熱影響部、およびすきま部で腐食が発生する可能性がある。
そのため、材料選定だけでなく、次の項目を併せて検討する必要がある。
表面粗さ
連続溶接
排水性
乾燥性
洗浄剤との適合性
すきまの最小化
不動態化処理
異物リスク
次の部品や破片が製品領域へ落下する可能性を低減しなければならない。
ボルト
ワッシャ
ばね
プラスチック片
シール片
電線片
コーティング片
キャプティブファスナ、金属検出可能な部品、および単純な構造を適用できる。
Risk Control & Robustnessの評価手順
システムを定義する
次の項目を定義する。
主要機能
使用者
運転環境
処理対象物
エネルギー源
正常使用
予見可能な誤使用
製品寿命
危険源一覧を作成する
機械、電気、制御、熱、圧力、化学、衛生、および人間工学上の危険を特定する。
リスクシナリオを作成する
各危険について、次の関係を整理する。
原因 → 危険状態 → 事故 → 被害
リスク水準を評価する
重大度、暴露頻度、発生可能性、および回避可能性を評価する。
リスク低減手段を選定する
次の順序で適用する。
危険を除去する。
エネルギーを低減する。
本質的安全設計を適用する。
保護装置を適用する。
監視と診断を適用する。
警告と手順を提供する。
教育と保護具を提供する。
変動要因を特定する
製品性能へ影響する変数を分類する。
設計変数
製造ばらつき
環境変数
使用条件の変数
劣化変数
サプライチェーン変数
感度分析を行う
性能へ大きな影響を与える変数を特定する。
ロバスト性対策を設定する
公差を調整する。
性能余裕を確保する。
感度を低減する。
自動補正を適用する。
部品を標準化する。
環境影響を遮蔽する。
診断機能を追加する。
フォールトトレラント構造を適用する。
試験計画を作成する
正常条件、限界条件、故障条件、および寿命条件を含める。
残留リスクを評価する
すべての改善後に残るリスクを再評価する。
文書化する
次の資料を作成する。
リスク評価書
FMEA
安全機能一覧
ロバスト性分析
試験結果
残留リスク一覧
取扱説明書
変更履歴
主な不具合形態
Risk Control & Robustnessが十分に検討されていない場合、次の問題が発生する可能性がある。
危険源の見落とし
正常運転だけを検討し、洗浄、保守、電源復旧、および誤使用条件を見落とす。
警告への過度な依存
構造的に除去できる危険を、警告表示と教育だけで管理する。
単一故障への依存
一つのセンサやリレーが故障しただけで、危険な動作が可能になる。
安全装置の無効化
運転上の利便性を理由に、インターロックやセンサが容易に無効化される。
共通原因故障
冗長装置が、同じ電源、ソフトウェア、または環境要因によって同時に故障する。
設計余裕の不足
正常条件では作動するが、わずかな負荷増加や摩擦変化によって機能を失う。
公差累積
個々の部品は公差内にあるが、組立体の性能が基準から外れる。
環境感度
温度、湿度、洗浄水、または振動によって、センサと制御が不安定になる。
劣化の未考慮
新品状態では正常でも、摩耗、腐食、シール硬化、潤滑低下後にリスクが増加する。
故障診断不足
故障箇所の特定に時間がかかり、不要な部品まで交換する。
安全率の誤用
安全率だけを高く設定し、疲労、衝撃、応力集中、および故障モードを検討しない。
保護装置による新たな危険
追加したカバーやインターロックが、洗浄不良、挟まれ、または作業者による無効化を引き起こす。
Risk Control & Robustness検討チェックリスト
System Definition — システム定義
製品の機能と使用範囲が明確か。
正常使用と予見可能な誤使用が定義されているか。
設置、運転、洗浄、保守、および廃棄段階が含まれているか。
使用者と運転環境が定義されているか。
Hazard Identification — 危険源の同定
機械的危険が特定されているか。
電気、熱、圧力、および化学的危険が検討されているか。
衛生と汚染の危険が含まれているか。
制御異常と通信異常が検討されているか。
保守および洗浄中の危険が含まれているか。
Risk Estimation — リスクの見積り
被害の重大さが評価されているか。
暴露頻度が反映されているか。
危険状態の発生可能性が評価されているか。
作業者の回避可能性が検討されているか。
重大な危険が、単に低確率という理由で許容されていないか。
Inherently Safe Design — 本質的安全設計
危険を構造的に除去できるか。
速度、力、圧力、および温度を低減できるか。
危険形状と挟まれ箇所を除去しているか。
電源や圧力が失われた際に安全状態へ移行するか。
自動再起動が防止されているか。
Safeguarding — 保護方策
固定式および可動式ガードが適切か。
インターロックの故障モードが検討されているか。
安全センサを容易に無効化できないか。
非常停止の位置と機能が適切か。
保護装置が新たな危険を発生させていないか。
Structural Robustness — 構造的ロバスト性
最大荷重と衝撃荷重が検討されているか。
疲労と応力集中が評価されているか。
荷重経路が明確か。
溶接部、締結部、および支持構造がロバストか。
腐食および劣化後にも十分な余裕があるか。
Functional Robustness — 機能的ロバスト性
製品や原材料特性のばらつきが考慮されているか。
摩擦、摩耗、および潤滑変化が反映されているか。
性能限界が明確に定義されているか。
性能変化が危険状態へつながらないか。
自動補正または制限機能が必要ではないか。
Control Robustness — 制御ロバスト性
センサばらつきと故障が検討されているか。
信号範囲および変化率チェックがあるか。
通信断時の状態が定義されているか。
制御パラメータが負荷変動に過敏ではないか。
電源復旧時に安全に再起動するか。
Environmental Robustness — 環境ロバスト性
使用温度範囲が定義されているか。
湿気、洗浄水、および粉じんに対する保護があるか。
振動と衝撃に耐えられるか。
洗浄剤と材料に適合性があるか。
結露と腐食が検討されているか。
Manufacturing Robustness — 製造ロバスト性
公差累積が検討されているか。
設計公差が工程能力と一致しているか。
供給者ばらつきが機能へ影響しないか。
作業者の熟練度への依存が低いか。
互換性と繰返し位置決め精度が確保されているか。
Margin and Derating — 余裕とディレーティング
構造と駆動系に十分な余裕があるか。
モータと電源容量が最大条件を満たしているか。
温度と電流に対してディレーティングが適用されているか。
すきまが汚染と熱膨張を考慮しているか。
過度な余裕によって費用と寸法が不要に増加していないか。
Fault Tolerance — フォールトトレランス
単一故障が危険状態へつながるか。
故障時の安全状態が定義されているか。
冗長装置の独立性が確保されているか。
共通原因故障が検討されているか。
故障状態を診断できるか。
Diagnostics — 診断
主要状態を監視できるか。
故障コードが原因と対応方法を提供しているか。
劣化傾向を確認できるか。
予防保全時期を判断できるか。
テストポイントが安全に提供されているか。
Verification and Validation — 検証と妥当性確認
解析結果が試験によって確認されているか。
最大条件および最小条件が試験されているか。
故障注入試験が実施されているか。
耐久試験と環境試験が実施されているか。
設計変更後にリスク評価と試験が更新されているか。
Documentation — 文書化
リスク評価とFMEAが最新状態か。
リスク低減手段と検証結果が記録されているか。
残留リスクが使用者へ伝達されているか。
安全関連設定とソフトウェアバージョンが管理されているか。
設計変更履歴を追跡できるか。
結論
Risk Control & Robustnessは、事故を防止するために安全装置を追加することや、製品を単純に頑丈にすることだけを意味するものではない。
製品や設備に存在する危険を体系的に特定し、可能な限り設計そのものによって危険を除去し、除去できない危険には信頼性の高い保護方策を適用する
と同時に、製造ばらつき、環境変化、部品劣化、外乱、および使用条件の変化の中でも、機能を安定して維持するための総合的な設計活動である。
リスクコントロールとロバスト性に優れた設計は、次の条件を満たす必要がある。
製品ライフサイクルのすべての段階で危険が特定されている。
正常使用だけでなく、予見可能な誤使用も検討されている。
危険なエネルギーと構造が、可能な限り設計そのものによって除去されている。
ガードと安全機能が、故障や環境変化の中でも安定して作動する。
単一故障が直ちに危険状態へつながらない。
製造ばらつきと組立誤差を吸収できる。
温度、湿度、振動、および汚染が変化しても機能を維持できる。
摩耗、腐食、および長期劣化後にも必要な性能余裕が残っている。
制御システムがセンサばらつき、負荷変動、および通信異常に対してロバストである。
主要な故障と劣化状態を診断できる。
故障時に安全停止するか、制限された機能で運転できる。
リスク低減手段とロバスト性が試験によって検証されている。
設計変更後にリスク評価と検証結果が更新される。
残留リスクと安全な使用方法が明確に文書化されている。
機械設計において、リスクは製品完成後に保護カバーを追加するだけで解決できる問題ではない。また、ロバスト性は、単に部品を厚くしたり、高い安
全率を設定したりするだけで確保できるものではない。
構造、材料、公差、センサ、制御ロジック、インターフェース、保護装置、および保守方針を決定する時点から、リスク水準とロバスト性は同時に決まる。
優れた設計とは、正常条件でのみ作動する設計ではない。部品ばらつき、環境変化、長期劣化、および予見可能な故障が存在する現実的な条件において
も要求機能を維持し、危険が発生する場合には安全状態へ移行できなければならない。
最終的に、Risk Control & Robustnessの品質は、危険源が完全に存在しないかどうかではなく、リスクを体系的に低減し、不確実性と変動が存在する実
際の使用条件においても、製品の機能と安全性を継続的に維持できるかによって決まる。