応用情報技術者 2019年 春期 午前2 問47

フェールセーフ【午前2解説】

正解の理由

解法ステップ

1. フェールセーフの定義を確認する：「故障時に安全側の状態に移る」こと。
2. 各選択肢が「故障時にどのような状態になるか」を検討する。
3. 故障時に安全側（危険を低減する状態）へ明確に遷移するものを選ぶ。
4. 選択肢を分類する：誤使用防止（ポカヨケ）、冗長化（可用性向上）、信頼性向上（MTBF改善）など、フェールセーフ以外の概念と区別する。

選択肢別の誤答解説

• ア: 乾電池の逆装填を物理的に防ぐ設計は「誤使用防止（ポカヨケ）」であり、使い方を誤らせない工夫です。故障時に安全状態へ遷移させるという意味のフェールセーフとは目的が異なります。
• イ: 交通管制システムが壊れたときに信号機が赤になる設計は、操作不能時に通行を止めて事故を防ぐ典型的なフェールセーフです。故障による最悪の被害を小さくする動作へ遷移しています。
• ウ: ネットワークカードのコントローラ二重化は「冗長化」による可用性向上で、故障しても運用を継続できる（フェールオペレーショナル）設計です。運用継続が目的であり、故障時に安全側に停止させるフェールセーフとは別の考え方です。
• エ: RAID1（ミラーリング）はディスク障害時のデータ可用性や信頼性を高めます（MTBFや可用性向上）が、故障時にシステムを安全状態に移行させることを目的としたものではありません。フォールトトレランス／冗長化の例です。

よくある誤解

• フェールセーフ＝単に「停止」ではない：停止させることが安全な場合も多いが、停止がかえって危険になる場面（例：動力が切れると制御不能で落下する機械）では別の安全側動作（機械的ブレーキ作動や自動停止）が必要です。状況に応じて「どの状態が安全か」を設計時に定義します。
• 冗長化とフェールセーフを混同しやすい：冗長化（例：二重化、RAID）は可用性や耐障害性を高める手法で、故障後も動作を継続させることが目的です。一方、フェールセーフは故障時に危険を減らす状態へ移すことが目的です。
• 「安全」に見える動作でも目的によっては不適切：例えばドアの電磁錠が故障時に通電で解錠しない（施錠したまま）と避難の妨げになるため、建物の避難扉は停電時に解錠される設計にするなど、文脈で安全側の定義が変わります（フェールセーフ vs フェールセキュアの違い）。

補足コラム

• ハザード分析：故障が起きた場合に想定される被害と、その大きさを評価する。
• 安全側状態の明確化：停止、遮断、ブレーキ作動、警告表示、常時安全側信号（例：赤）など、どれが最も被害を抑えるかを決める。
• フェールセーフと冗長化の組合せ：重要システムでは、冗長化で可用性を確保しつつ、最終的に安全側へ遷移する監視と切替設計を行うことが多い。
• 運用面：故障時の状態を監視して速やかに復旧する手順や、意図しないフェール状態発生を防ぐための保守設計も重要です。

• 制御系が故障したときに機械的ブレーキが作動して設備を停止する。
• 停電時に避難のために電磁錠が解錠される（避難優先のため）。
• 列車信号や交差点信号が制御系障害時に停止（赤）を表示して進行を抑止する。

FAQ