故障モードとFMEA|TS16949,AIAG,VDAの欠陥

1-1. FMEAとは？

FMEA とは、設計中のシステム(製品・サービス・工程)に、使用中に起こり得る故障モード(構造の破壊)を挙げて、適切な対策が講じられたかどうか、是非を判定する手法・活動をいう。

このページでは、次のFig-Aに示すように、民生品用の絶対評価法による、無駄のない簡素なFMEAを解説する。

→工程FMEAの事例

Fig-A:ガスコンロの設計FMEA

→この事例の実施手順の説明

1-1-1. 故障と故障モードの違い

故障モードとは、構造破壊をいう。例えば、割れ、摩耗、材質劣化、腐食、ショート、緩み、変形、濁り、異物混入～など。

故障とは、機能障害をいう。良好に機能していたのに、途中から(例えば)動かない、止まらない、振動・騒音が出る、などの現象が起きること。

1-1-2. 故障モードに着目せよ

起りそうな「故障」を挙げて対策を講じればよさそうなのに、なぜ、「故障モード」を挙げるのか？

製品の機能や故障は千差万別である。特に新製品では、使用中に発生する故障を設計時に予測することは非常に困難である。しかし、構造モードには次の性質がある（同旨：久米均氏）。

1. 故障モードは挙げやすい。製品によって機能は異なるが、構造(ねじ、歯車、接着、圧入、フレーム、電線、リレー、スイッチなど)は多くの製品に共通するので、故障モードも共通する。
2. 故障は、故障モードの影響だから、故障モードが分かれば故障も推測がつく。
3. 故障モードが挙がれば、原因も予測しやすい。故障の原因は様々で(特に、新製品は)予測が難しいが、構造破壊が特定すれば原因は容易に予測できる。

2-1. FMEAの由来

FMEAの始まりは、米国の「大陸間弾道ロケット」や「有人月旅行アポロ計画」など、軍事・宇宙開発に深く関係する。

2-1-1. FMEA発祥の事情

アポロ1号
(3名死亡)

大陸間弾道ロケットやアポロ計画では、一発の実験用の打ち上げが失敗すると2兆円もの損害を生む。本番の失敗が大損害になるのは云うまでもないが、研究用の実験ですら失敗は大変に高くつく。

しかも、ほぼ一品料理である。「何台も作っていろいろな試験をする」という訳にはいかない。実験だとしても失敗が許されず、とにかく1台作るたびに、その1台が大過なく役目を果たすことが必要なのある。

こうなると、考えることはただ一つ。「汚れ・キズ・騒音・デザインなどはどうでもいい、大事故にならないものを一発で作れ」ということになる。FMEAはこのような要請に応えるために研究され、実施され始めたのである。

2-1-2. 伝統的なFMEAの特徴

チャレンジャー号
(8名死亡)

上述のFMEA発祥の事情により、伝統的なFMEAは次のような特徴を持つ。

1. きわめて重大な影響を生じる故障モードを対象にする。
2. 極めて頻度が高い故障モードを対象にする。
3. 設計時に予測が極めて困難な故障モードを対象にする。
4. 上に該当しない欠陥は、FMEAでは扱わない。

わが国でも多くの企業で教育され実施されているAIAG、VDA、TS16949などの世界的な規格が推奨するFMEAは、大方この流れに沿っており、形骸化の傾向にある。なぜ、形骸化するか？

2-1-3. 伝統的FMEAの問題点

伝統的色彩のFMEAは、民生用の製品には不向きである。

トップページ〔問題7〕の正解:5(民生品に不向き)

1. 重大とはいえなくても、売れ行きに影響する故障モードは全て対象とすべきある。
2. 設計時に検知できなければ重大リスクとするのは不合理(民生品では、販売後の定期点検やメンテで大事至る前に検知し解決すれば十分である)。
3. ハイリスクの故障モードを選び出すための評価を行い、対策を講じ、再度その効果を見るために評価をし、2回以上の評価を行うことになる。
4. TS16949(コアツール)の解説書やAIAG/VDA規格に準拠したRPNを学んで、納得できずに苦しんでFMEAが形骸化する。
5. 影響度、頻度、検知度を10点満点で評価する作業は、基準のあいまいさもあって、極めて困難である。

問題の根源は、「相対評価10点法」が軍事用・NASAの宇宙ロケット開発用にできていることにある。

軍事・宇宙開発の分野での開発では「試しに試作品を作って飛ばしてみよう」、「試しに人を乗せて打ち上げてみよう」という気軽なテストはできない。重大な失敗リスクがないことを事前に徹底的に調べ尽くさねばならない。従って、キズや汚れや騒音などはどうでもよい、爆発や軌道の異常などのハイリスクな事故だけを特別に扱う～という考え方になってくる。

しかし、「民生用の製品」では、多くの場合、気軽に試作品を作って気軽に失敗して、何だかんだ改良しているうちに新製品が出来上がる。事前に徹底的にハイリスクだけを抽出して他を放置する必要性に乏しく、大陸間弾道ミサイルや宇宙ロケットで要求されるようなFMEAを実施する必要性に乏しいのである。

また、「民生用の製品」では、高リスク故障モードが起きないのは「当たり前品質」であって、それだけでは売れない。むしろ、外観とか騒音とか些細な欠陥の有無で売れ行きが変わってくる。従って、「宇宙ロケット開発」の考え方を改めなければならない。

つまり、一般の民生品用に改善されたFMEAが必要になる。それが、このページで解説する「絶対評価4点法」のFMEAである。

2-2. 絶対評価法の手順

起り得る全ての故障モードについて、十分な対策状況にあるかどうか評価し、合否を判定するやり方である。

2-2-1. 絶対評価法の特徴

起り得る全ての故障を上列挙した上で、各故障モードの対策状況の合否を判定するだけなので、4点評価という簡単な評価方法をとることができる。

次のFig-Aに示すように、絶対評価法では無駄のない簡素なFMEAを実施する。

2-2-2. ガスコンロの事例

Fig-Aは、家庭用のガスコンロに絶対評価法の設計FMEAを適用した事例である。以下、これに沿って手順を説明する。

Fig-A:ガスコンロの設計FMEA(再掲)

• アイテム(品名)＝故障モードが発生する恐れのある品名。Fig-Aではガスコンロのガス管への接続部の部品を挙げている。
• 故障モード＝ホースに起り得るクラックを挙げている。
• 原因＝クラックの原因は経年変化による材質の劣化である。
• 影響(Severest)＝最悪の影響は「ガス漏れ」にとどまらず火災・爆発・死亡が考えられるが、「ガス漏れ」と書けばそのことは関係者が理解しているから簡単に書いている。→(Fig-Aに戻る)
• 対策(管理状況)＝「合格であることの根拠」を記載する。例えば、次のような根拠があり得る。この事例では、数年に1回の法定点検で十分として合格になっている。
  • 冗長設計
  • ポカヨケ
  • フェール・セーフ
  • インターロック
  • 安全率500％
  • 3m落下試験に合格
  • 類似製品での使用実績
• 影響度(=a)＝最悪の影響からどの程度緩和されるか、4段階で評価する →(Fig-Aに戻る)
  1. ほぼ完全
  2. 実用可
  3. 不満
  4. 不可
• 頻度(=b) 最悪の影響を考慮して、発生頻度が許される程度かどうか、4段階で評価する。
• 検知度(=c) 最悪の影響を考慮して、大事になる前に故障モードや影響の発生を検知する困難さを4段階で評価する。大陸間弾道ロケットや有人宇宙ロケットなどは「定期点検で欠陥が分かる」というケースはないが、多くの民生品では定期メンテで容易に検知・是正できれば合格となることが多い。なお、重要な例外あり → "a=2"の特則
• 総合評価 個別評価のa、b、cの値を使って、
  危険指数:RI(Risk Index)=(a*b*c)の3乗根=∛(a*b*c)
  を求める。総合評価では、RIの値が2以下であれば合格とするが、2を超えると何らかの手段が求められる(詳細は省略)。 → (Fig-Aに戻る)

3-1. 製品構造説とは？

工程中で「製品に生じる構造破壊」、つまり、不良項目を故障モードとする。いわば、設計FMEAの故障モードと同じものを工程に適用した考え方であり、わが国の多くに企業で指導され採用されている。

しかし、このやり方には問題がある。いかに不良項目を予測してFMEAを行っても、不良は思いもよらない原因で発生する。つまり、不良は実際には予測し切れない。また、起きるかどうか分からない不良項目に余分な対策を講じて、労力と費用を無駄に費やす恐れもある。

そのような訳で、実際に量産試作や量産を行って、出る不良を出し切って対策をする方が好都合な場合もある。

3-2.　工程構造説とは？

量産試作や量産で不良を出し切って対策して良好な工程を獲得したとき、それで安心してはならない。なぜなら、その後何らかの事情で工程の構造(材料、人、機械、作業方法、測定～等のいわゆる5M)に異変が生ずるからである。例えば、次のような場合である。

• インフルエンザが流行して熟練者が欠勤したために臨時の作業者が担当する。
• 資材課が原価低減のために別のメーカーから材料を仕入れる。
• 使っているうちに治工具が摩耗する。

以上のような、いろいろな事情で工程の構造に異変が生ずる。以下、このような工程の構成要素の変化を故障モードとする考え方の具体例を示そう。

3-3. かぜ薬の事例で学ぼう

Fig-Bは、かぜ薬の錠剤が入った瓶の「ねじ蓋」を本締めする組立工程に絶対評価法の工程FMEAを適用した事例である。以下、これに沿って手順を説明する。

Fig-B:ねじ蓋本締めの工程FMEA

〔トップページ問題6の解答〕正解は「3」:アイテム欄に組立品を記載して、故障モードの欄に「部品と故障モードを記載する」ことも便法として許される。

• アイテム(工程名)＝FMEAの対象となった単位工程。Fig-Bは、前工程で仮締めした「瓶のねじ蓋」を、このステップの機械で本締めするケースである。
• 故障モード＝本締め機の回転速度が何らかの原因で規定速度と違ってしまう変化である。
• 原因＝段取り作業者の「うっかり」が原因。
• 影響(=S:Severest)＝最悪の影響は運送中の「蓋の緩み」だが、製品のリコールや会社の評判にも影響する。 → Fig-Bに戻る
• 対策(管理状況)＝段取りが変化しないよう、速度変更シフトレバーをノックピンで固定する。
• 影響度(=a)＝最悪の影響を緩和する効果はないからか、評価はa=4。 → Fig-Bに戻る
• 頻度(=b)＝予防がほぼ完全だから、頻度b=1。
• 検知度(=c)＝「予防がほぼ完全」なら、検知の必要性もほぼないから、c=1とする(b=cの特則と称し、新幹線もこの考え方を採用をして60年になる。詳細 → b=cの特則)。
• 総合評価＝
  危険指数:RI(Risk Index)=(a*b*c)の3乗根=∛(a*b*c)
  を求める。ここでは1.6になって2以下なので合格である。 → Fig-Bに戻る

4-1. 新幹線の安全対策

日本が誇る新幹線は、1964年に東海道新幹線として開業したが、その間、死亡事故はゼロ件である。

この事実は何を物語るか？

奥村誠氏(東北大学・災害科学研究所教授)からの引用である。

新幹線が時速300kmを超える高速走行中に、何かの拍子で異物が入ってくると大事故につながる。時速300kmだと停車するのに4kmかかり、運転士がそこまで先を目視することは不可能である。

そこで、新幹線は、常に障害物がない線路を造り上げた。

人も動物も入り込めないように高架橋を作り信号を張り巡らせることで、運転士が前を見なくても走行できる状況を作り出した。

以上から、新幹線は「頻度対策が十分なら、検知の必要性が少なくなる」という考え方を実施したものであることが分かる。

もっとも、実際の話をすると、新幹線の侵入防止金網には疑問を感じるところがある。右の写真のように金網が破れて人や動物が容易に線路内に入れる場所も実在する。牛馬や自動車が侵入しない限り、人や犬などの小型の動物と衝突しても新幹線は脱線しないという理由で、かような「破ろうと思えばできないこともない金網」で間に合わせたのかも知れない。

しかし、人が侵入できるということは、地雷を設置できるということを意味するから、現実はもっと徹底的に侵入防止策を講じる必要があろう。

4-2. 「b=c」の特則

上述の奥村氏の見解と同様に、絶対評価法では、次の特則を設ける。これにより、著しくFMEAが簡易化され、設計者の負担が軽くなる。

• b=1なら、c=1 とみなす。
• b=2なら、c=2 とみなす。

4-3. 両原発事故の比較

FMEAは「起り得る故障モード」を挙げてリスク評価し、通常、「起り得ない故障モード」は対象外である。

しかし、そうも言い切れない事情がある。

通常は起きそうにない「想定外の故障モード」であって、万が一起きたら大変な被害になるケースが問題なのである(FMEAの落とし穴)。

4-3-1. 福島原発は、何がまずかった？

2011-03-11:東日本大震災の際に東京電力の福島第一原発が大災害をもたらした。一方、より震源地に近い東北電力の女川(おながわ)原発はほとんど無事であった。

この差は何だったか？

〔福島第一原発〕

福島第一原発では最大3ｍの津波を想定し、これを越える津波が来る恐れはないと考えられた。発電所の敷地は海抜10ｍ(安全率=3倍)とし、冷却のための非常用発電機は台風を考慮して地下に設置した(これはハリケーンを最重視する購入先の米国式の設計である)。

しかし、実際は13ｍの津波で発電所の敷地は3ｍ水浸し、地下室は海水で満杯になり、冷却用電源が喪失した。

4-3-2. 女川原発の長所

〔女川原発〕

他方、女川原発では、最大10ｍの津波を想定し、これを越える津波が来る恐れはないが、来るものとみなし、発電所の敷地は海抜15ｍ(安全率=1.5倍)とし、冷却のための非常用発電機も敷地の高さに設置した。

震災時の実際は、13ｍの津波で、発電所の敷地は2ｍの余裕があり、冷却用電源も無事であった。

女川原発では、宮城県や岩手県の河口や漁港の防潮堤が過去の津波のデータ(言い伝え)から最大10mほどであったことを参考に、発電所の敷地を15m(安全率=1.5)にした経緯がある。つまり、十分なデータに基づいて想定する場合は安全率を3倍以上にとることが望ましい。

福島第一原発の建設当時、津波を考慮しない米国の設計を引き継いだため、ほとんどデータなしに最大津波=3ｍと見込み、これを超える津波は来ないとみなした点に誤りがあった。

データが乏しい中で想定するときは、安全率=5倍～8倍(津波の高さ15ｍ～24ｍ)とすることが望まれる。逆に言えば、安全率を下げたいなら調査を尽くしてデータを収集しなければならない。

過去の津波データは、福島県から三陸海岸にかけての巨大地震は400年～700年間隔で繰り返していたことが古文書、神社に残る言い伝え、ボーリングなどで明らかになっているが、原発建設当時でも調べようと思えば調べることができたもので、明らかに東京電力及び政府の怠慢である。

この場合のFMEA表に記載する内容は、次のようになる。

1. アイテム=予備電源
2. 故障モード=水浸(予備電源の環境の破壊)
3. 原因=津波
4. 影響S=炉心の溶融、放射能の拡散

しかし、「3ｍを超える津波は起きない」と考える人にとっては、そもそも予備電源の浸水は「起り得る故障モード」ではないから、通常のFMEAの対象にならない。

そこに問題がある。

4-4. FMECA:特別な計算式

上のような起り得ないと思うが、万一起きたら大変な故障モードの評価方法をFMECA(Failure Mode,Effect and Criticality Analysis)といい、特別なRIの計算式で評価する。

1. 危険指数は、次のようになる。
   RI(Risk Index)=(a²*b*c)の4乗根=∜(a²*b*c)
2. b=c の特則を適用しない。

つまり、影響を緩和する手段があればともかく、「頻度a=1、検知度c=1」となる手段を講じなければならない。土木・建築物・交通機関などで、頻繁に定期点検をすることによって「検知度c=1」を実現する場合が多い。

この場合の点検は、その一瞬だけの機能を見る「機能点検」ではなく、次回の点検までの間に破壊が起きないことを確かめる「信頼性点検」(打音点検、超音波検査、放射線検査、劣化検査～など)でなければならない。