1. Abnormal and Protective Controlの定義

Abnormal and Protective Controlとは、機械が正常な運転条件から外れた際に異常状態を検出し、その影響と重大度を評価したうえで、設備・工程・製品の損傷を防止するために、動作の制限・中断・移行・復旧を行う制御領域である。

機械は、常に正常な条件だけで運転されるわけではない。

実際の運転では、次のような状況が発生する可能性がある。

• 装置が指令に応答しない。

• 機能が許容時間内に完了しない。

• センサ信号が互いに矛盾する。

• 製品が詰まる、または二重に供給される。

• モータ負荷が増加する。

• 圧力または温度が正常範囲から外れる。

• 通信が途絶する。

• 電源または空圧供給が失われる。

• 機械的な摩擦やバックラッシが増加する。

• 製品品質が許容範囲から外れる。

Abnormal and Protective Controlは、単にアラームを表示するだけのものではない。

次の事項を体系的に決定しなければならない。

• どのような状態を異常と判断するか

• 異常がどの範囲に影響を及ぼすか

• 運転を継続できるか

• 速度や出力を制限すべきか

• どの機能を優先的に停止すべきか

• どの出力を維持すべきか

• 自動復旧が可能か

• 作業者の介入が必要か

• 再起動前に何を再確認すべきか

したがって、異常対応・保護制御の本質は、異常発生後に機械がどのように動作すべきかを設計することにある。

2. 制御システムにおける位置

汎用機械における異常対応の流れは、次のように表現できる。

機能実行 → 状態認識 → 異常検出 → 影響評価 → 保護判断 → 保護動作 → 復旧 → 再検証

各領域の役割は次のとおりである。

Abnormal and Protective Controlは、一般的な機能制御と安全関連制御の間に位置する。

一般的な工程異常や設備異常を処理する一方、人の安全に直接影響する状態については、Safety-Related Controlで個別に処理しなければならない。

3. 異常・故障・危険の区別

3.1 異常状態

Abnormal Condition

正常な運転条件から外れた状態である。

例：

• 圧力低下

• 温度上昇

• 位置偏差の増加

• サイクルタイムの増加

• センサ応答の遅延

異常状態が、必ずしも直ちに故障や危険を意味するわけではない。

3.2 故障

Fault

要求された機能を正常に実行できない、または装置の一部が意図した状態を維持できない状態である。

例：

• モータが作動しない

• センサが断線している

• バルブが固着している

• ブレーキが作動しない

• 通信障害が発生している

• 位置情報が失われている

3.3 危険状態

Hazardous Condition

人、設備、または周辺環境に損害を与える可能性のある状態である。

例：

• ガードが開いた状態で危険軸が動作する

• 垂直軸が落下する可能性がある

• 回転部が停止していない状態で接近できる

• 過圧によって部品が破損する可能性がある

• 高温部が露出している

異常状態と故障は保護制御で処理するが、危険状態はSafety-Related Controlと連携させなければならない。

4. 保護対象の定義

保護制御の目的は、何を保護するかによって異なる。

4.1 設備保護

Equipment Protection

機械および構成装置の損傷を防止する。

例：

• モータの過負荷防止

• 軸の衝突防止

• オーバートラベル防止

• ベアリングの過熱防止

• 潤滑不足時の主軸停止

• トルク超過時の駆動制限

4.2 工程保護

Process Protection

工程の安定性と連続性を維持する。

例：

• 製品詰まりの拡大防止

• 誤った順序での動作防止

• 工程途中状態の保持

• 上流・下流設備間の異常な製品受渡し防止

4.3 製品保護

Product Protection

製品の損傷や品質不良を防止する。

例：

• 過大なクランプ力の防止

• 過熱防止

• 二重加工防止

• 未加工品または加工不完了品の次工程への移送防止

• 不良品の自動排出

4.4 制御システム保護

Control System Protection

制御装置および情報の損傷や喪失を防止する。

例：

• 通信異常時に安全側の初期状態へ移行する

• プログラム異常を監視する

• メモリおよびパラメータを保護する

• 電源異常時にデータを保存する

• 無効な指令を遮断する

4.5 作業者保護

Personnel Protection

人に対する危険を防止する。

この領域は一般的な保護制御と関連するが、所定の信頼性や規格適合が要求される安全機能は、Safety-Related Controlとして実装しなければならない。

5. 異常原因の分類

5.1 信号・センサ異常

• センサ断線

• 短絡

• 信号固着

• 汚れによる誤検出

• センサ位置ずれ

• アナログ値異常

• 通信データ異常

5.2 アクチュエータ異常

• モータ起動不能

• サーボアラーム

• インバータトリップ

• シリンダ動作未完了

• バルブ応答なし

• ブレーキ作動不良

• ヒータ出力異常

5.3 機構異常

• ベルト破損

• チェーン外れ

• カップリングの緩み

• 歯車損傷

• ガイドの引っ掛かり

• 過大な摩擦

• バックラッシ増加

• 軸のアライメント不良

5.4 工程異常

• 製品未供給

• 製品の二重供給

• 製品方向不良

• 位置決め失敗

• クランプ不良

• 加工不完了

• 検査不合格

• 排出失敗

5.5 エネルギー供給異常

• 電圧低下

• 電源喪失

• 空圧不足

• 油圧不足

• 真空低下

• 冷却水不足

• 潤滑不足

5.6 通信・システム異常

• ネットワーク切断

• 応答遅延

• ノード消失

• データ不整合

• 制御装置停止

• プログラム実行異常

• パラメータ異常

5.7 環境異常

• 過度な温度

• 湿気

• 粉じん

• 洗浄水の侵入

• 振動

• 電気ノイズ

6. 異常検出の基本構造

異常検出は、次の流れで構成される。

基準定義 → 状態監視 → 偏差検出 → 継続時間確認 → 原因候補分類 → 異常確定

6.1 基準定義

正常範囲と許容範囲を設定する。

例：

• 正常圧力

• 許容位置偏差

• 正常温度

• 最大モータ負荷

• 最大サイクルタイム

6.2 状態監視

関連する信号および状態変数を継続的に監視する。

6.3 偏差検出

目標値または正常範囲と実際値との差を検出する。

6.4 継続時間確認

瞬間的な変動か、継続的な異常かを判断する。

6.5 原因候補分類

センサ、装置、機構、工程のいずれに起因する可能性があるかを分類する。

6.6 異常確定

定められた条件と継続時間を満たした場合、異常状態として確定し、保護判断ロジックへ伝達する。

7. 異常検出方式

7.1 しきい値検出

Threshold Detection

測定値が設定範囲から外れているかを確認する。

例：

• 温度上限超過

• 圧力下限未満

• トルク上限超過

• 位置偏差超過

7.2 タイムアウト検出

Timeout Detection

設定時間内に機能が完了しない状態を検出する。

例：

• シリンダ前進未完了

• 製品到着遅延

• サーボ位置決め未完了

• 通信応答遅延

7.3 指令・応答不整合検出

出力した指令と実際の装置応答を比較する。

例：

• モータ起動指令後も回転しない

• バルブON後も圧力が変化しない

• ブレーキ解除指令後も解除フィードバックが確認できない

7.4 状態不整合検出

関連する状態が論理的に矛盾していないかを確認する。

例：

• 前進センサと後退センサが同時にON

• Door OpenとDoor Closedが同時にON

• 軸停止状態で速度信号が検出される

7.5 傾向検出

Trend Detection

値の変化傾向から初期異常を判断する。

例：

• モータ電流の段階的増加

• ベアリング温度の継続的上昇

• サイクルタイムの増加

• 位置偏差の反復的拡大

• 空気消費量の増加

7.6 モデル・関係性に基づく検出

関連する物理量の関係が正常であるかを判断する。

例：

• ヒータ出力が増加しているが温度が上昇しない

• モータ電流が増加しているが軸が移動しない

• バルブが閉じているが圧力が上昇し続ける

8. 異常重大度の分類

すべての異常を同じレベルで処理してはならない。

重大度は、次の基準に基づいて決定する。

• 機能を継続できるか

• 製品品質への影響

• 設備損傷の可能性

• 異常が拡大する可能性

• 復旧可能性

• 人に対する危険

• 状態情報の信頼性

9. 保護判断の基本原則

保護判断は、異常が発生したという事実だけでなく、その異常によって何が危険にさらされるかを基準として行う。

次の事項を検討する必要がある。

• 現在の機能を継続できるか

• 現在のサイクルを完了させる方が安全か

• 即時停止が必要か

• 問題が発生した軸または機能だけを停止できるか

• 圧力・温度・負荷を下げれば運転を継続できるか

• 製品を安全に排出できるか

• 現在位置を維持する必要があるか

• エネルギーを遮断する必要があるか

• 自動復旧が可能か

• 作業者の介入が必要か

保護制御では、すべての異常に対して一律に全出力を遮断するのではなく、異常の影響に応じた、必要最小限で安全かつ合理的な対応を選択しなければならない。

10. 保護動作の種類

10.1 出力補正

Output Correction

小さな偏差を自動的に補正する。

例：

• 速度調整

• 圧力調整

• 温度出力調整

• 位置補正

10.2 機能制限

Function Restriction

一部の機能または性能を制限する。

例：

• 最高速度の制限

• トルク制限

• 一部軸の運転禁止

• 自動運転の禁止

• 手動低速運転のみ許可

10.3 運転保留

Hold

必要な条件が回復するまで、機能を一時的に保留する。

例：

• 下流設備がReadyになるまで待機

• 空圧が回復するまで待機

• 温度が安定するまで待機

10.4 自動再試行

Automatic Retry

安全な状態へ復帰した後、機能を限定回数だけ再実行する。

10.5 局所停止

Local Stop

問題が発生した機能またはモジュールだけを停止する。

例：

• 供給モジュール停止

• 特定軸停止

• 検査モジュールの切離し

10.6 通常停止

Normal Stop

現在のサイクルまたは工程を安全に完了した後に停止する。

10.7 保護停止

Protective Stop

設備または工程の損傷を防止するために動作を停止し、保護状態を維持する。

10.8 安全停止

Safety Stop

人または設備に直接的な危険が存在する場合、Safety-Related Controlに従って停止する。

11. 保護停止と安全停止の区別

保護停止と安全停止では、目的と実装基準が異なる。

保護停止

主な目的は、設備・工程・製品の損傷を防止することである。

例：

• モータ過負荷

• 潤滑不足

• 製品詰まり

• 位置偏差超過

• 加工負荷異常

一般的なPLCや制御装置によって実装できる。

安全停止

主な目的は、人に対する危険または重大な危険エネルギーを制限することである。

例：

• 安全ドア開放

• ライトカーテン遮光

• 非常停止

• 垂直軸の落下危険

• 危険速度超過

安全停止は、セーフティPLC、セーフティリレー、ドライブの安全機能など、要求される安全アーキテクチャを用いて実装しなければならない。

一般的な保護制御を安全機能として扱ってはならない。

12. 異常影響範囲の評価

異常は、その影響範囲に応じて異なる方法で処理しなければならない。

12.1 単一装置の異常

特定のセンサ、モータ、シリンダ、バルブなどに限定される。

対応：

• 対象装置を停止する

• 機能を隔離する

• 他の機能は維持する

12.2 モジュール異常

供給、加工、検査、排出など、一つの機能モジュール全体に影響する。

対応：

• モジュールを停止する

• 上流・下流のハンドシェイクを遮断する

• 製品移動を制限する

12.3 機械全体の異常

制御装置、電源、空圧供給、安全状態などに影響する。

対応：

• 機械全体を停止する

• エネルギーを管理する

• 再起動を禁止する

12.4 ライン異常

上流・下流設備および生産ライン全体に影響する。

対応：

• 製品受渡しを停止する

• 状態情報を伝達する

• ラインを同期停止する

• 再起動順序を管理する

13. 異常拡大の防止

一つの異常が、他の機能や装置へ拡大しないようにしなければならない。

例：

• 排出失敗後は次の製品供給を禁止する。

• 加工軸異常時にクランプを直ちに解除しない。

• 下流設備停止時に上流からの供給を停止する。

• 空圧不足時に空圧機器を無制限に作動させない。

• 製品詰まり発生時に追加製品の投入を防止する。

異常拡大を防止するため、次の事項を定義する必要がある。

• 遮断すべき機能

• 維持すべき機能

• 上流・下流設備へ伝達する状態

• 製品を保持する位置

• エネルギーを維持するか、除去するか

• 復旧順序

14. 出力維持と出力遮断

異常発生時にすべての出力を直ちにOFFにすることが、常に安全とは限らない。

維持が必要となる可能性のある出力

• 垂直軸ブレーキ

• 製品落下防止クランプ

• 冷却ファン

• 潤滑ポンプ

• 安全ドアロック

• 真空保持

• 圧力保持バルブ

遮断が必要となる可能性のある出力

• 危険軸の駆動

• 追加の製品供給

• 加熱出力

• 切断および加圧動作

• 異常な回転部

• 故障モジュールへのエネルギー供給

したがって、保護動作では次の事項を明確に定義しなければならない。

• 遮断する出力

• 維持する出力

• 遅延後に遮断する出力

• 条件付きで維持する出力

• 手動解除を必要とする出力

15. 制限運転と縮退運転モード

すべての異常が、直ちに完全停止を必要とするわけではない。

場合によっては、性能を制限した状態で運転を継続できる。

制限運転の例

• 生産速度の低減

• 一部軸の無効化

• 手動運転のみ許可

• 対応可能な製品種類の制限

• 最大トルクの低減

• 自動検査が使用できない場合に作業者検査を要求

• 二重化センサの一方が故障した場合の時間制限運転

制限運転には、次の条件が必要である。

• 制限運転が安全であるか

• 製品品質を保証できるか

• 作業者が状態を明確に認識できるか

• 運転時間または生産数量の上限が定義されているか

• 保守要求が自動的に生成されるか

• 正常モードへ自動復帰しないか

16. 自動再試行の設計

一部の異常は、自動再試行によって復旧できる。

例：

• 製品の再整列

• シリンダ後退後の再前進

• 通信指令の再送信

• 供給装置の再起動

• センサによる再検出

自動再試行では、次の事項を定義する必要がある。

• 再試行を許可する異常

• 再試行を禁止する異常

• 再試行前の安全位置

• 最大再試行回数

• 再試行間の待機時間

• 再試行中の制限条件

• 繰返し失敗後の停止レベル

• 再試行履歴の記録

次の機能では、自動再試行を制限しなければならない。

• 人が接近できる可能性のある機能

• 繰返すほど製品損傷が増加する機能

• 高荷重の加圧または切断機能

• 状態情報を信頼できない機能

• 機械的な詰まりが疑われる機能

17. 故障隔離

Fault Isolation

故障した装置または機能を他のシステムから切り離し、影響の拡大を防止する必要がある。

隔離対象

• 電源

• 空圧供給

• 油圧供給

• 通信

• 製品移動

• 機能指令

• 上流・下流インターフェース

隔離方法

• 出力遮断

• バルブ閉止

• 通信ノードの無効化

• BusyまたはFault状態の送信

• 製品受渡しの禁止

• 機能選択からの除外

故障隔離後も、他のモジュールが誤ったReady信号を受け取らないよう、状態情報を明確に伝達しなければならない。

18. 診断と原因分類

適切な保護制御は、異常を検出するだけでなく、原因の範囲を絞り込めなければならない。

例えば、シリンダが前進完了位置へ到達しない場合、次の原因が考えられる。

• 空圧不足

• バルブ不作動

• シリンダ固着

• 機械的な詰まり

• センサ故障

• センサ位置ずれ

• 製品との干渉

診断には、次の情報を利用できる。

• 指令出力状態

• バルブフィードバック

• 圧力変化

• 位置センサ

• 動作時間

• 前回サイクルのデータ

• モータまたは装置負荷

• 作業者による確認情報

診断結果は、一つの確定原因ではなく、可能性の高い原因の一覧として提示することもできる。

19. アラームの構成

アラームは、単なるコードとメッセージではなく、作業者が問題を理解し、対応できるように構成する必要がある。

アラームに含める情報

• アラームコード

• 発生位置

• 発生した機能

• 異常状態

• 想定原因

• 直ちに必要な対応

• 復旧条件

• 再起動の可否

• 関連装置

• 発生時刻

• 繰返し回数

アラームメッセージ例

不適切な表現：

• Cylinder Error

• Alarm 102

適切な表現：

• Clamp Cylinder Forward Timeout

• Required action: Check air pressure, product interference, and forward sensor

• Automatic operation cannot resume until clamp position is verified

20. アラームの優先順位

複数のアラームが発生した場合、最初の原因と、その後に発生した結果を区別する必要がある。

例：

1. 空圧供給不足

2. クランプ前進失敗

3. 加工開始禁止

4. サイクルタイム超過

この場合、根本原因は空圧供給不足である。

アラームの優先順位は、次のように構成できる。

• Root Cause Alarm

• Primary Fault

• Secondary Fault

• Process Consequence

• Informational Event

すべてのアラームを同じレベルで表示すると、作業者が実際の原因を特定しにくくなる。

21. イベントおよび履歴記録

異常原因を分析するためには、発生前後の状態情報を記録する必要がある。

記録すべき情報

• 発生時刻

• 運転モード

• 実行中だった機能

• 直前の指令

• 関連するセンサ状態

• 主要なアナログ値

• 製品情報

• レシピ

• 再試行回数

• 作業者操作

• 復旧時間

重要な異常については、発生前と発生後のデータを併せて保存することが有効である。

22. 電源喪失と復旧

電源喪失によって、機械状態が不確実になる場合がある。

電源復旧後は、次の事項を確認しなければならない。

• 軸位置を信頼できるか

• 製品位置が変化していないか

• 空圧または油圧状態が維持されていたか

• クランプ状態が維持されていたか

• ブレーキが正常か

• 前の工程を継続できるか

• 原点復帰が必要か

電源復旧後に以前の動作を自動継続することは、原則として避けるべきである。

機械をUnknownまたはRecovery Required状態へ移行させ、状態を再検証した後にのみ運転を許可する必要がある。

23. 空圧・油圧供給喪失への対応

空圧または油圧が失われると、装置が意図しない方向へ移動する可能性がある。

検討事項：

• クランプが解除されるか

• 垂直軸が落下するか

• バルブの初期状態は何か

• 残圧が残るか

• 圧力復帰時に急激な動作が発生するか

• 再加圧前に位置確認が必要か

必要となる可能性のある保護手段：

• チェックバルブ

• パイロットチェックバルブ

• 圧力保持装置

• 流量制限

• 落下防止バルブ

• 圧力復帰後の再起動防止

24. 通信異常への対応

通信異常時に各装置がどの状態を維持するかを定義しなければならない。

検討事項

• 最後の指令を維持するか

• 出力をOFFにするか

• 制限状態へ移行するか

• ローカル制御を継続するか

• 上位システムへFault状態を送信するか

通信異常時の基本動作は、装置ごとに異なる場合がある。

例：

• コンベヤは制御減速停止する。

• クランプは保持する。

• ヒータ出力は制限する。

• 製品供給は停止する。

• ブレーキは作動する。

25. 復旧段階

異常復旧は、次の段階で進めることが望ましい。

1. 異常発生と保護動作を確認する。

2. 危険エネルギーが制限されていることを確認する。

3. 根本原因と二次的なアラームを区別する。

4. 異常原因を除去する。

5. 関連装置とセンサを確認する。

6. 製品および工具の位置を確認する。

7. 未完了の機能を整理する。

8. 必要に応じて原点復帰を行う。

9. インターロックと保護条件を再確認する。

10. 作業者による意図的なリセットを確認する。

11. Ready状態へ復帰する。

12. 制限された試験動作の後、自動運転を許可する。

復旧とは、単にアラームビットをOFFにする処理ではない。

26. リセットの基本原則

リセットは、異常原因を除去する機能ではない。

リセットとは、次の事項を確認した後に状態を初期化する操作である。

• 異常原因が除去されている。

• 保護動作が正常に終了している。

• 装置位置が確認されている。

• 安全条件が満たされている。

• 再起動可能な状態である。

次の場合はリセットを許可してはならない。

• 異常信号が継続している。

• 位置状態が不明確である。

• 危険領域へ接近している。

• ブレーキ状態が不明確である。

• 通信復旧が確認されていない。

• 復旧手順が完了していない。

27. 再起動防止

異常が解除された、または電源が復旧したという理由だけで、機械が自動的に再起動してはならない。

再起動には次の条件が必要である。

• 作業者による意図的な操作

• Ready状態の確認

• 製品状態の確認

• 装置状態の確認

• 安全条件の確認

• 上流・下流設備の準備完了確認

以前の出力指令が残っている場合でも、再起動条件が成立するまで実行してはならない。

28. Control State Recognition and Decisionとの関係

State Recognition and Decisionは、異常状態を認識し、分類する。

Abnormal and Protective Controlは、その結果を用いて次の事項を決定する。

• 運転を継続するか

• 機能を制限するか

• 再試行するか

• どの装置を停止するか

• どの出力を維持するか

• どのような手順で復旧するか

すなわち、

State Recognitionは異常を認識し、Protective Controlはその影響から機械と工程を保護する。

29. Control Function Executionとの関係

機能実行中に異常が発生した場合、Protective Controlは機能実行を変更または中断する。

例：

• 機能実行を保留する

• 次工程への遷移を禁止する

• 現在の機能をキャンセルする

• 安全位置へ復帰する

• 自動再試行を行う

• 異常状態へ移行する

Function Executionは正常時の動作を定義し、Protective Controlは正常な実行を継続できなくなった場合の動作を定義する。

30. Interlock Controlとの関係

インターロックは、異常発生前に誤った動作を防止する役割を持つ。

Protective Controlは、異常がすでに発生した場合、または正常条件が失われた場合に対応する。

例：

• インターロック：空圧不足時はクランプ開始を禁止する。

• 保護制御：クランプ中に空圧が低下した場合、加工を中断し、クランプ状態を維持する。

したがって、インターロックと保護制御は、予防と対応の関係にある。

31. Safety-Related Controlとの関係

異常状態が人への危険または重大な危険に関連する場合、Safety-Related Controlが優先される。

例：

• 一般的なモータ過負荷：保護停止

• 回転部の安全ガード開放：安全停止

• 製品詰まり：機能停止

• 作業者進入中の加圧動作：安全停止

保護制御と安全関連制御の境界は、リスクアセスメントに基づいて定義しなければならない。

32. Assemblyとの連携

保護制御の性能は、実際の組立状態に影響される。

必要な組立情報

• センサ取付位置

• オーバートラベルストッパの位置

• ブレーキ取付方向

• 圧力スイッチ設定

• トルクリミッタ設定

• ケーブルおよび配管接続

• 冷却・潤滑配管

• 保護装置へのアクセス性

• 点検ポイント

組立不良が保護制御の誤作動につながらないように、取付基準と検査方法を提供する必要がある。

33. Manufacturingとの連携

製造されるすべての機械で、同一の保護判断と対応を再現できなければならない。

管理パラメータ

• 警告しきい値

• 停止しきい値

• ヒステリシス

• タイムアウト

• 再試行回数

• 制限速度

• トルク制限

• 圧力制限

• 温度制限

• 復旧条件

製造・試運転試験

• センサ異常試験

• タイムアウト試験

• 過負荷試験

• 圧力低下試験

• 通信断試験

• 電源喪失試験

• 再試行試験

• 保護停止試験

• 復旧試験

• 再起動防止試験

34. 主要な設計成果物

35. 異常対応・保護制御の確認事項

異常定義

• 正常範囲と異常範囲が定義されているか

• 異常・故障・危険が区別されているか

• すべての機能にタイムアウトが定義されているか

• 指令と応答の不整合を検出しているか

重大度

• 異常の影響範囲が評価されているか

• 製品・工程・設備・作業者への影響が区別されているか

• 保護停止と安全停止が区別されているか

• 状態の不確実性が重大度に反映されているか

保護動作

• 遮断する出力と維持する出力が定義されているか

• 局所停止が可能か

• 異常の拡大を防止できるか

• 制限運転条件が明確か

再試行

• 再試行可能な異常が明確に定義されているか

• 最大再試行回数と待機時間が定義されているか

• 繰返し失敗後の対応が定義されているか

• 危険な機能の再試行が制限されているか

復旧

• 根本原因と後続異常を区別できるか

• 復旧前に実際の状態を再確認しているか

• 原点復帰の要否が定義されているか

• リセット条件と再起動条件が区別されているか

組立と製造

• 保護用センサおよび装置の取付基準があるか

• しきい値とパラメータを再現できるか

• すべての保護機能を試験できるか

• 電源・通信・圧力喪失試験が含まれているか

36. 結論

Abnormal and Protective Controlは、機械が正常条件から外れた場合に異常を検出し、その影響に応じて設備・工程・製品を保護し、機械を確認可能な状態へ復帰させる制御領域である。

その本質は、多数のアラームを作成することではない。

次の関係を明確に定義することが重要である。

• 何を異常と判断するか

• その異常が何に影響するか

• 運転を継続できるか

• どの機能を制限または停止するか

• どの出力を維持するか

• 自動再試行を許可するか

• 故障をどのように隔離するか

• 根本原因をどのように区別するか

• どのような手順で復旧・再起動するか

適切な異常対応・保護制御は、故障発生後に単に機械を停止するだけではない。

異常の重大度と影響範囲を評価し、必要な機能だけを制限し、異常が他の装置や工程へ拡大することを防止する。また、復旧後も機械位置、製品、工具、エネルギー状態を再確認し、誤った状態で運転が再開されたり、同じ異常が繰り返されたりしないようにする。

これにより、Control Function Executionは異常条件下でも予測可能な方法で中断され、Control State Recognition and Decisionは保護判断に必要な信頼性の高い状態情報を提供し、Safety-Related Controlは実際の危険状態において優先的に機能できる。