フェールセーフは信頼性を下げる

＜はじめに＞

フェールセーフ（fail safe）とは、万が一機器が壊れた時に安全側に動作させる設計の事です。

これを採用する事で、安全性は上がりますが信頼性は下がります。

フェールセーフは故障に対しての方策なので信頼性が上がると錯覚しがちですが、その逆ですので気をつけたいところです。　

＜信頼性と安全性の関係＞

信頼性とは故障しない事ですので、安全性とは少し違います。安全性は故障の有無にかかわらず安全であるか否かを意味します。ですので信頼性が下がるとは故障率が上がる事なのです。故障率が低ければ安全性も上がるので、信頼性を上げれば安全性が高くなると言えますが、信頼性が低くてもフェールセーフ等の安全策を付加すれば安全性は確保されます。

ですので必ずしも「信頼性＝安全性」とはならないのです。

・信頼性↑➡︎安全性↑（正）

・信頼性↓➡︎安全性↓（誤）

＜信頼性が下がる理由＞

フェールセーフという機能を追加する事により、余分な機能や部品が追加されるわけですので、その分の故障率が上がります。

機能や部品点数が多いほど故障の機会が増えますので、故障率が上がるわけです。

＜信頼性と安全性は切り分けて考える＞

故障率を下げることで安全性を上げるのは当然の事ですが、それでも機器の故障は免れないので、それに備えて安全機構をつけておくわけです。

しかし、その機構が信頼性（故障率）の足を引っ張るという事を忘れてはいけません。

これはフェールセーフだけでなく故障検知機能も同じです。

異常検知機能の信頼性が高ければいいですが（ストーブ等の機械式の転倒検知など）、センサーのような誤作動が多いもの（或いは設定条件が難しいもの）は、環境や使われ方によって誤検知が頻発する可能性があります。

＜フェールセーフや検知機能の必要性の検証方法＞

故障という意味では、本来機能も付帯機能であるフェールセーフや異常検知機能も重みは同じです。ですのでそれらの機能の設定は慎重にすべきです。

H3ロケットの第二段エンジンが着火に失敗したケースは、過電流検知が作動して電源を停止させた為とあります。既に上空にいるロケットに対して異常対策として電源停止する事に何の意味があるのでしょう。　誤検知であった可能性を考えれば、過電流検知しても電源を停止させる必要はなかったのです。　本当に過電流だったとしても、もうどうしようもないので司令破壊させるわけですから。

ロケットは信頼性を極限まで上げたい一心で数々の検知機能をつけていますが、逆にそれが本来機能を邪魔するリスクを考慮しなければなりません。（H3ロケット失敗）

＜まとめ＞

フェールセーフや異常検知を付加する事は、安全性確保と引き換えに故障率を上げてしまうという事を認識しなければなりません。トレードオフを考慮して必要性を検証しなければなりません。

目次に戻る