IO-Link Safety 導入を検討するとき、最初に決めるのはマスターの型番ではありません。既設のライトカーテン、安全扉、非常停止、ドライブ停止が、それぞれどの危険を減らす安全機能を構成し、変更後も要求される性能と停止動作を満たすかです。安全信号を集められることと、機械全体の安全機能が妥当であることは別の確認です。
タイ工場では、稼働中の設備を一斉に更新できないことが珍しくありません。そこで既設OSSDを維持する設備、新しいIO-Link Safetyデバイスに切り替える設備、標準IO-Linkで診断だけを取得する設備を分けて調達します。本稿は、現場調査からRFP、FAT、SAT、変更後の運用までを一つの判断表にします。安全回路の設計・検証は対象機械のリスクアセスメントと製品安全マニュアルに基づき、適格な担当者が行う前提です。
IO-Link Safety導入で調達するのは「通信」ではなく検証可能な安全機能
標準IO-Linkはセンサーやアクチュエーターとの点対点通信を担います。IO-Link Safetyは、その通信路をブラックチャネルとして使う安全関連拡張です。IO-Link Communityの技術説明は、安全マスターと安全デバイス、通常データと安全関連データの共存、既設OSSD機器への移行に使えるポート構成を説明しています。IEC 61139-2:2022はIEC 61131-9のSDCIに対する機能安全拡張を規定し、OSSDeインターフェース、通信層、設定・立上げ機能を含みます。一方、上位フィールドバスや安全通信プロトコルへの統合は同規格の適用範囲外です。
したがって見積書の「IO-Link Safety対応」だけでは、安全PLCまでの全経路、停止機構、再起動防止、故障時の状態を説明できません。設計対象を、検出器→ポート→安全マスター→上位安全通信→安全PLC→出力・接触器・ドライブ→危険な動作の停止、という連鎖で書きます。各要素が何を監視し、どこで故障を検出し、どの状態へ遷移するかを表にします。
最大性能を製品パンフレットからそのまま機械の達成性能に写してはいけません。ISO 13849-1:2023は安全関連制御システムの設計・統合方法を扱い、ISO 13849-2:2012は規定した安全機能と達成したカテゴリー・性能レベルを解析と試験で妥当性確認する手順を扱います。必要な性能は機械固有の危険源とリスク低減から定めます。通信プロトコルの上限値は完成した安全機能の合格証ではありません。
仕様認証と個別製品認証を切り分ける
IO-Link CommunityのニュースはTÜV SÜDによるIO-Link Safety仕様V1.1.4の認証と、マスター・デバイスの試験開始を伝えています。このニュースだけで、ある型番、ファームウェア、センサーとマスターの組合せが認証済みとは結論できません。製品ごとに証明書番号、対象型番と版、適用規格、制限条件、安全マニュアル、認証範囲を入手して照合します。購入国での供給・保守と現場で使う上位安全通信の対応も別に確認します。
IO-Link Communityのダウンロード一覧では、2025年のリリース済みパッケージにSafety Systems Extensions V1.1.5とSafety Test Specification V1.1.5が掲載されています。同じ一覧の2026年パッケージはREVIEW表示です。調達仕様書には参照版を固定し、レビュー草案を確定仕様として適合要件にしないことが重要です。発注直前に発行状態と製品証明書の対象版を再照合します。
先に作るべき安全機能台帳：設備単位で何を守るか
既設図面に「安全扉」「ライトカーテン」と書かれていても、その入力がどの危険動作を止め、いつ再起動できるかは図面だけでは足りません。安全機能台帳を設備・危険区域ごとに作り、少なくとも次の項目を記録します。
| 項目 | 現場で確かめること | 受入時の証跡 |
|---|---|---|
| 危険源と人の接近 | 保守、段取り、清掃、詰まり除去、通常運転でどこに入るか | リスクアセスメントの版と承認 |
| 検出 | ライトカーテン、扉スイッチ、非常停止等の型番・設置位置・故障監視 | 配線図、取扱説明書、試験記録 |
| 論理 | 安全PLC/リレーの版、入力割付、リセット、ミューティング等 | 安全プログラムと変更履歴 |
| 最終要素 | 接触器、STO、バルブ等が何を遮断するか | 回路図、停止試験、フィードバック監視 |
| 性能要求 | 要求PL/SIL、応答時間、停止距離等の根拠 | 計算書、測定値、妥当性確認 |
| 再起動 | 手動リセット、監視位置、電源復帰、予期せぬ起動防止 | シナリオ別の試験記録 |
台帳の「現状」欄には、図面上の値だけでなく現物の銘板、配線、端子、実際の停止動作を書きます。長年の改造で図面と現物が食い違う場合、設計変更はその差分を明らかにしてからです。作業者の慣行で代替している危険な操作があれば、単なる通信更新の対象に含めず、リスク低減の課題として扱います。
診断を増やす目的と安全機能を変更する目的は分けます。停止理由を保全画面に出したいだけなら、認証された既設安全機能を維持し、許される診断出力を別経路で取り込む方が妥当な場合があります。一般のIO-Linkデータ収集とIODD運用はIO-Link導入・センサーデータ統合の記事で扱っています。本稿の判断対象は、保護機能の境界を動かす場合の検証です。
三つの移行構成：既設OSSDを活かすか、安全デバイスを替えるか
構成A：既設安全回路を維持し、診断だけ追加
既設OSSD、専用安全リレーまたは安全PLCへの入力と停止出力を維持します。変更対象は、メーカーが許すステータス出力や独立した監視点からの診断取得です。稼働停止が短く、センサー交換の必要がない工場で候補になります。ただし安全信号から安易に分岐して入力電流やテストパルス特性を変えてはいけません。接続先、絶縁、電源共有、故障時の影響は安全マニュアルと設計者の確認が必要です。「観測系だから安全に影響しない」と決めつけないでください。
構成B：安全マスターでOSSDとIO-Link Safetyを併用
一部をIO-Link Safetyへ替え、残るOSSD機器を対応ポートに接続する段階移行です。ポートが両方式を扱えるかは製品依存です。IO-Link CommunityはマスターがOSSDセンサー接続用に設定できるポートを提供し得ると説明しています。例えばPilzのPDP67発表は、IO-Link Safety用ポートと設定可能な安全I/Oポート、従来のOSSDセンサー接続に言及します。これはPilzの特定製品の例であり、全マスターの共通仕様ではありません。実際の型番のポート分類、点数、信号方向、電流、テストパルス、短絡検出条件を仕様書で照合します。
この構成の利点は設備ごとの段階切替ですが、移行期にはOSSD、IO-Link Safety、標準IO-Link、上位安全通信が同居します。各ポートの設定を色や名称だけで管理すると、保全交換時に誤設定を招きます。設備番号とポート番号、安全機能ID、許可するデバイス型番・版、設定チェックサム、上位PLC変数、試験ケースを一対一で台帳化します。
構成C：認証済みデバイスとマスターを組み合わせて更新
ライトカーテンや扉用デバイスをIO-Link Safety対応品に替え、安全マスターまでの区間を再設計します。Pilzの製品ページにはPDP67 IOLS、PSENopt II Advanced IOLS、PITgatebox IOLSの製品群が示されています。調達では特定組合せの互換性、証明書と安全マニュアル、専用設定ツール、供給地域とリードタイムを取り寄せます。公開ページに製品名があることを、当該国で希望仕様が直ちに入手可能という意味に拡張しません。
全面置換は配線・設定・診断を整理しやすくする一方、停止距離、ミューティング、扉のロック解除、リセット位置など現場の安全機能そのものが変わり得ます。施工日程より先にリスクアセスメントの更新と妥当性確認計画を確定させます。旧システムを撤去する日は、図面の赤線修正と保全教育の完了後に置きます。
安全機能台帳の記入例：包装機の搬送部
例えば包装機の搬送部に作業者が手を入れる危険を、ライトカーテンで検出して駆動部を停止する場合を考えます。台帳には「ライトカーテンが遮光されたらモーターを安全停止」とだけ書かず、危険区域、進入方向、ワークの通常通過、段取り運転、清掃時の手順を記します。既設OSSDの二系統がどの端子を通り、どの安全PLC入力へ入り、どの出力がドライブのSTOや接触器を動かすかを実機で追います。手動リセット押しボタンの位置から危険区域全体を確認できるか、遮光が解けても自動再起動しないかも記録します。
置換案では、IO-Link Safety対応ライトカーテンとマスターの組合せ、上位安全通信、設定ツールの版を一行ずつ追加します。旧回路で検知していた断線・短絡・センサー故障が新構成でどう検知されるかを対応付け、停止時間の予算を検出から機械停止まで分解します。搬送物のためにミューティングが必要なら、有効条件、タイミング、誤った順序、電源断からの復帰を別ケースにします。装置の安全確認を終えていない段階では、画面に詳細な診断が出ることを導入の合格条件に置き換えません。
この一枚を設計会社、装置メーカー、保全、EHSが同じ机で読み、分からない欄を現地調査で埋めます。FATでは遮光、機器抜去、上位通信断、誤設定を再現し、SATでは実機の停止時間とリセット後の動作を測ります。納品時には、台帳の版と製品証明書、設定バックアップ、試験ケース、実測結果を同じ安全機能IDで結びます。数年後にセンサーを交換するときも、このIDを起点に許可型番と再試験範囲を確認できます。
Safety Masterから上位安全PLCまでの「つなぎ目」をRFPで固定する
IO-Link Safetyの点対点区間だけ見積もっても工場では動きません。安全マスターから上位へ何で通信するのか、既設安全PLCがその方式・版を扱えるかが導入費と停止期間を左右します。IEC 61139-2は上位のフィールドバス/FSCP統合を規定しないため、ゲートウェイ/マスター製品の対応表と安全マニュアルで確認します。
RFPには、現行安全PLCメーカー・型番・ファームウェア、既設ネットワーク、安全通信方式、入力/出力点数、周期と監視時間、エンジニアリングツール版、ライセンス、変更許可の範囲を記載します。提案側には、接続先の実装方式、互換性を示すドキュメント、認証範囲、障害時の安全状態、診断コードの意味、復旧方法を回答させます。既設PLCが直接対応しない場合、ゲートウェイ追加・安全PLC更新・構成A維持のいずれが適切か比較します。ゲートウェイが単に非安全データを変換するだけなら、安全信号経路に入れてはいけません。
安全データと通常の診断データを同じ配線で扱える場合も、情報の用途を分けます。安全PLCが実行する停止判定は安全認証の範囲内で設計・試験し、ダッシュボードは原因分析や保全の補助に限定します。クラウドやMESに遅れて届くイベントで停止機能を代替しません。PLCデータの収集・ネットワーク境界・時刻管理はPLCデータ収集の記事で詳しく扱っています。
配線を減らせるかは現物の経路で判断する
分散マスターを機械の近くに置くと、センサーから盤までの個別配線を減らせる可能性があります。しかし安全マスターへの給電、安全ネットワーク、保護接地、M12コネクタ、ケーブル保護、保全スペースが新たに必要です。配線長の一般論だけで工数削減を断定せず、現行ケーブルルートと改造後ルートを図面上で比較します。可動部、洗浄区域、溶接ノイズ、温度、油、振動に合う保護等級とケーブル仕様を選びます。
「標準ケーブルでよい」という説明も、その製品の安全マニュアルにある許容長、コネクタ、施工条件の範囲で解釈します。現場でコネクタを取り違えない表示、曲げ半径、防水施工、予備品の型番統一まで施工仕様に入れます。信号が通っただけでは、保全時に安全機能を誤って復旧させない仕組みまで検証したことになりません。
OSSDからの移行で見落としやすい六つの差分
第一に、入力診断の方法です。OSSDの二重出力、テストパルス、クロスショート検出を現行回路がどう使っているかを記録します。新しいポートで同等の故障が検出されるか、同じ故障を別の診断方式で扱うかを試験ケースに変換します。
第二に、起動とリセットです。保護領域から人が出た時、扉が閉じた時、電源が戻った時に自動で機械が動かないことを機能ごとに確認します。設定ツールの「自動」既定値を現場の要求に読み替えないことが肝要です。
第三に、応答時間と停止距離です。センサー検知時間、IO-Link Safety区間、マスター、上位通信、安全PLC、出力、機械停止時間を積み上げます。カタログの通信周期だけでは全応答時間になりません。測定条件と許容値を設計段階で決め、SATで実測します。
第四に、ミューティング・ブランキング・バイパスです。工程上必要な例外動作は、どの条件で誰が有効化できるか、解除後に何が残るか、故障時にどう止まるかを個別に扱います。作業者の安全確保に関わるため、単なるデバイス置換の設定移行として扱わず、危険源と運転モードを再確認します。
第五に、パラメーターとデバイス交換です。IO-Link Communityは安全機能のパラメーター設定に、IODDに加えて機器固有のDedicated Device Toolを説明しています。交換品が接続しただけで同じ安全機能を提供するとは限りません。承認済み設定の版、チェックサム、アクセス権、交換後の確認試験を定めます。
第六に、故障と復旧の表示です。通信断、デバイス故障、入力遮断、保護領域侵入、マスター電源喪失を画面上で区別します。原因が分かる診断は保全時間の短縮に役立ちますが、診断の存在をもって必要な安全性能が達成されたとは判断しません。復旧操作が容易になっても、安全確認を省略して再起動できないことを試験します。
RFPに添付する「同じ土俵」の比較表
購買担当が価格だけを比較すると、受入試験、再検証、停止期間、図面更新、保全教育が別途費用になりがちです。以下の回答様式を全社共通で配ります。
| 比較項目 | 発注側が提示する情報 | 提案側に求める回答・証跡 |
|---|---|---|
| 対象機械 | 設備、危険区域、既設安全機能、改造制約 | 対象/除外範囲、現地調査で確定する項目 |
| 安全要求 | リスクアセスメント、要求PL/SIL、停止時間の根拠 | 機能別アーキテクチャ、計算・検証の担当者 |
| デバイス | 既設OSSD/安全リレー/PLCの銘板と版 | 対応型番、証明書、安全マニュアル、供給可否 |
| ポート | 点数、現行配線、増設余地 | Safety/OSSD/標準のモード別点数と制限 |
| 上位接続 | 安全PLC、通信方式、ソフト版 | 安全通信の対応、追加機器、ライセンス |
| 設定 | 保全の権限、変更承認、交換手順 | ツール、版管理、バックアップ、復旧方法 |
| 試験 | 停止許容期間、危険区域の立入制限 | FAT/SATケース、測定器、合否基準、再試験 |
| 運用 | 予備品、技術者の拠点と言語 | 保証、保守、部品寿命、訓練、変更時支援 |
価格表はハードウェア、電気・盤・ケーブル工事、ネットワーク、安全PLC改造、ソフト/ライセンス、現地調査、リスクアセスメント更新、FAT、SAT、停止中の立会い、教育、予備品、保守を分けます。単価だけでなく数量前提と追加費用の条件を明記します。「配線削減率」「立上げ時間短縮率」などの宣伝値は自社現場のWBSと試験記録に置き換えます。メーカー指定の組合せでしか成立しない場合は、その依存関係と代替調達の可能性を評価します。
安全機能を含む見積りの採否は、購買部だけでは決めません。生産、保全、電気設計、安全衛生、IT/OT、設備メーカーの役割を定め、仕様逸脱を誰が承認するか事前に決めます。納品物には回路図だけでなく、構成ファイル、安全計算、製品証明、試験結果、教育記録を含めます。
FAT：現物に設置する前に故障の振る舞いを確認する
工場受入試験（FAT）は、正常動作のデモだけにしません。安全機能IDごとに入力を変え、安全PLCの論理、出力状態、診断、復帰条件を追います。実際の機械停止距離の確認はSATに残るとしても、FATで配線・設定・通信・論理の不一致を先に摘出できます。
| FATケース | 注入する状態 | 見る証跡 |
|---|---|---|
| 保護遮断 | ライトカーテン遮光、扉開、非常停止 | 指定出力の安全状態と手動復帰条件 |
| ポート故障 | センサー抜去、電源喪失、通信断 | 故障認識、安全状態、診断の区別 |
| 誤接続 | 異なる型番・許可外ポートへ交換 | 設定/識別の拒否、警報、停止 |
| 上位断 | 安全ネットワーク切断、PLC再起動 | 監視時間内の反応、再接続後の復帰 |
| 設定変更 | 承認外パラメーター・版の投入 | 検出、変更権限、記録、復元 |
| 例外運転 | 許可されたミューティング等 | 条件外では働かず、解除後も安全状態を維持 |
合否値は本稿の一律数値を使わず、リスクアセスメント、機器マニュアル、設計計算から設定します。試験結果には日時、設備・安全機能ID、構成版、測定器と校正状態、実測値、判定、立会者、未解決事項を記録します。失敗したケースは理由と修正後の再試験まで追跡します。「最終的に動いた」という記憶を受入証拠にしないためです。
SAT：据付後の停止動作と保全手順を現場で証明する
現地受入試験（SAT）はFATのコピーではありません。配線長、ノイズ、ネットワーク負荷、停電復帰、機械の慣性、作業位置、目視可能範囲は現場でしか確認できません。SAT前に立入禁止、エネルギー遮断、試験指揮者、緊急連絡、復旧手順を決め、危険動作が生じない条件で試験します。
最初にas-built図面と現物の接続を照合し、ポート番号と安全機能IDを確認します。次に停止距離または停止時間を設計条件に沿って測ります。遮光・扉開・非常停止の操作場所を変え、複数入力が同時に変わる場合も含めます。上位通信の断続、マスター電源喪失、デバイス交換、設定復元、予期せぬ再起動の有無を確認します。通常稼働への復帰時には、別の区域に人が残っていないことを確認する運用も試験します。
保全手順は机上のフローチャートで終わらせません。現地の保全担当が、承認済みの予備品を特定し、正しいポートへ接続し、設定を確認し、所定の安全試験を行ってから設備を戻せるかを見ます。ローカル言語で読める手順と権限がなければ、長期運用では誤復旧のリスクが残ります。IEC/ISOへの適合性表明や機械の最終承認は、契約上の責任者が必要な記録を確認して行います。
段階導入の工程表：一度に全設備を切り替えない
調査期：代表設備だけで境界を見つける
設備一覧、事故・ヒヤリハット、既設図面、改造履歴、製品銘板を集めます。安全機能IDを割り当て、センサーから最終要素まで追跡します。標準IO-Linkへの既存投資があっても、それが安全用途の適合性を意味しないと明記します。PoC対象は一番新しい設備ではなく、OSSDと安全PLCの現状を代表し、停止時間の制約を検証できる設備を選びます。
設計期：三構成を同じ条件で比較する
構成Aの安全回路維持、構成Bの混在、構成Cの置換を、必要な停止時間・安全機能変更・検証工数・予備品・保全者の技能で比較します。部品の価格だけでなく、リスクアセスメント更新と各安全機能の再試験を工数化します。特定デバイスの納期が長ければ、部分導入で何が確実に改善するか、何は将来工事に残るか明記します。
受入期：ゲートを越えるまで次工程に進めない
設計レビュー、証明書照合、FAT合格、据付検査、SAT合格、保全教育、図面確定をゲートとして置きます。各ゲートには承認者と未解決項目の扱いを決めます。安全機能に影響する不具合を「後で直す」条件付きで稼働させない判断基準を先に設定します。安全以外の表示改善は別リストにして、稼働判断と混同しないようにします。
運用期：交換・更新を新しい安全変更として扱う
交換品のファームウェアや設定ツールが変わった場合、当初の証明書と試験範囲に入るか確認します。安全PLCプログラムや上位通信の版更新も変更管理を通します。誰がバックアップを保管し、復元できるかを定期的に演習します。診断ログを保全に活かす場合も、画面のアラーム文言と実際の故障・停止状態の対応表を更新します。
タイ工場での調達と運用に落とす追加条件
タイでの導入では、現場担当、設備メーカー、本社エンジニア、海外の機器メーカーが別言語で同じ安全機能を説明できる必要があります。安全機能台帳と試験ケースは一つのID体系にし、タイ語の作業手順、日本語または英語の設計・証明書、署名された試験結果を紐付けます。翻訳で「遮断」「停止要求」「安全状態」「復帰許可」を同じ言葉に丸めないことが重要です。用語表を契約添付にするだけでも、立上げ時の誤解を減らせます。
現地の施工規則、輸入・電気関連要件、顧客監査の要求は案件ごとに確認します。本稿はタイ国内での一律の法的適合性を保証するものではありません。責任分担では、設備メーカーが提供する安全マニュアルと機械の改造承認、インテグレーターが作る接続・試験記録、工場側の運転・保全手順を分けます。協力会社が入れ替わっても、設定バックアップと証跡が工場側に残る契約にします。
遠隔保守を使うなら、診断閲覧権限と安全設定変更権限を分けます。接続経路、期間限定の承認、変更ログ、緊急時の遮断を定義します。ネットワークセキュリティの議論を機械安全の代替にせず、両方の担当者が変更内容を確認します。現場が長期的に管理できる版管理と予備品供給を、初期導入と同じ重みで見積もります。
よくある質問
IO-Link Safetyマスターを入れれば既設OSSDはすぐ撤去できますか？
できません。対象マスターのポートが既設OSSDを扱うか、現行回路の故障検出や停止動作をどう再現するかを型番と安全マニュアルで確かめます。安全機能ごとにリスクアセスメント、設計、FAT/SATを経て切り替えます。段階移行ならOSSDを維持する方が適切な設備もあります。
一般のIO-Linkセンサーを安全機能に使えますか？
通常のIO-Link対応というだけでは使えません。IO-Link CommunityのSafety System Descriptionも、非安全機器に通信層を加えるだけでは安全用途に適用できないと説明しています。デバイス自体の安全設計・認証と、組み込む機械の安全機能の妥当性確認が必要です。
IO-Link Safetyの仕様認証は製品の安全認証と同じですか？
同じではありません。仕様の評価・認証は技術基盤についての話です。購入する製品の証明書、型番・版、制限、安全マニュアル、上位接続の適合は個別に確認します。公表された製品群についても、供給地域と現在の認証範囲を発注時に再確認します。
FATで合格したらSATは省略できますか？
省略すべきではありません。FATは組合せと故障の振る舞いを事前に確認できますが、実機の停止時間、設置位置、配線、騒音・ノイズ、保全者の操作は現場でしか確かめられません。合否基準は機械固有の設計から作ります。
2026年のIO-Link Safetyレビュー草案をRFPの必須版にできますか？
現時点のIO-Link Communityダウンロード一覧では2026年パッケージがREVIEWです。確定した要求として引用せず、リリース済み版と購入候補の認証版を基準にします。正式版が出たら変更影響と製品対応を再評価します。
診断データで停止時間を短くできますか？
原因の切り分けを速くする可能性はありますが、短縮率は設備と運用によります。まず通信断・侵入・機器故障・設定不一致を保全員が区別できるか、交換手順で安全試験を実施できるかをPoCで測ります。診断画面の改善は安全性能の立証とは分けます。
まとめ：機器選定の前に、安全機能と受入証跡を固定する
IO-Link Safety導入では、既設回路を残す構成、OSSDと安全通信を併用する構成、認証済みデバイスへ置き換える構成を安全機能ごとに選びます。マスターから上位安全PLCへの接続、設定ツール、製品証明、停止時間、故障時動作をRFPで比較可能にし、FATで論理と故障、SATで実機の停止と復帰を確認します。仕様認証、個別製品の認証、機械全体の妥当性確認は別の証跡です。2026年のレビュー草案を確定版として扱わず、購入時点の資料と型番を再照合します。
タイ工場で既設OSSDを残すべきか、どこからIO-Link Safetyへ切り替えるべきか迷う段階なら、設備図面と安全機能台帳の初稿を基にTOMAS TECHへご相談ください。調達前の構成比較、RFP、FAT/SATの試験項目整理から相談できます。最終設計と安全の承認は対象設備の責任者と適格な専門担当が行います。
