シーケンス制御の品質は、正常運転のラダープログラムが動くことだけでは判断できません。設備が停止した瞬間、センサーが来ないとき、作業者が復帰を要求したときに、どの状態へ移り、誰の権限で、どの証跡を残して再開するかまで決めて初めて、発注者が受け入れられる制御仕様になります。本稿では、状態表と故障注入を使い、PLC FAT・SATで異常復帰まで証明する実務を解説します。
シーケンス制御の発注で「正常に動く」だけでは足りない理由
製造装置の見積書には「PLCプログラム一式」「自動運転シーケンス」「調整費」と書かれていても、完成条件が具体化されていないことがあります。供給者はワークを投入し、起動し、加工し、排出する正常サイクルを完成させます。発注者もサイクルタイムと出来栄えを確認し、いったん合格と判断します。しかし量産では、材料切れ、センサー不成立、通信切断、空圧低下、途中停止、段取り変更、電源再投入などが必ず起こります。
このとき問題になるのは、ラダーの書き方より「状態の意味」が合意されていないことです。停止ボタンを押したときに保持する出力は何か、再開は中断位置からか原点復帰後か、タイムアウトは警告か異常か、品質判定前のワークは良品・不良品・保留のどれか。これらが曖昧なら、現場調整で一つずつ決めることになり、納期末に変更が集中します。
したがって発注境界は、プログラムの行数や画面点数ではなく、次の成果物で切るべきです。
| 発注成果物 | 合意すべき内容 | 受入証跡 |
|---|---|---|
| 運転モード表 | 自動、手動、段取り、保全などの選択条件と権限 | モード別テスト記録 |
| 状態遷移表 | 状態、遷移条件、遷移先、禁止遷移 | 状態表と実機ログ |
| 許可条件表 | 起動・継続・再開を許す入力と品質条件 | 条件成立/不成立の結果 |
| タイムアウト表 | 監視対象、開始点、期限、停止動作 | 故障注入の時刻記録 |
| 異常コード表 | 原因、表示、設備動作、品質影響 | HMI画面とイベントログ |
| 復帰仕様 | リセット権限、除去確認、再開地点 | 権限別の復帰テスト |
| 版管理表 | PLC、HMI、レシピの組合せ | チェックサムまたは版記録 |
| FAT/SAT仕様 | 入力、期待状態、合否、証跡 | 承認済み試験成績書 |
一般的な外注先の選び方や納品物の整理はタイでのPLCプログラム開発外注が参考になります。本稿はさらに範囲を絞り、停止・異常・復帰を検収可能な形へ変えることに集中します。
IEC 61131-3とSFCを「共通言語」にする
IEC 61131-3:2025は、プログラマブルコントローラ向けのStructured Text（ST）、Ladder Diagram（LD）、Function Block Diagram（FBD）の構文と意味を規定し、プログラムやファンクションブロックの内部構成に使うSequential Function Chart（SFC）の要素も定義しています。公開日は2025年5月22日、Edition 4.0です。重要なのは「どの言語が優れているか」ではなく、状態と処理をどう分ければ発注者・供給者・保全担当者が同じ理解を持てるかです。
LDはインターロックや入出力条件を追いやすく、STはデータ処理やレシピ検証を記述しやすい傾向があります。SFCはステップ、遷移条件、アクションを見せるため、順序制御の骨格をレビューしやすくします。ただしPLCopenの説明でも、SFCは遷移条件やアクションを他言語で表現する必要があり、単独の万能言語として扱うものではありません。
実務では「SFCでなければならない」と指定するより、次の分離を要求する方が効果的です。
- 状態・ステップと遷移条件が一覧で追えること
- 出力制御と状態判定が循環参照しないこと
- インターロック、許可条件、異常判定を区別すること
- 手動操作が自動運転の内部状態を壊さないこと
- 状態名、信号名、異常名の命名規則が文書とコードで一致すること
- 変更箇所と影響範囲を版差分で追えること
PLCopenのSoftware Construction Guidelinesには、コーディング規則、命名、ライブラリ構築、SFCのdo’s and don’ts、オブジェクト指向、ソフトウェア品質メトリクスなどの資料があります。これらは発注仕様の代わりではありませんが、供給者とのコードレビュー基準を作る土台になります。
運転モードと状態遷移を混ぜない
「自動」「手動」は運転モードであり、「停止中」「起動準備」「運転中」「一時停止」「異常停止」は状態です。両者を一つの整数や内部ビット列で表すと、組合せが増えたときに意味が崩れます。たとえば手動モードにも停止中と操作中があり、自動モードにも準備、運転、保留、停止処理があります。モードと状態を二つの軸に分けると、禁止すべき組合せを明示できます。
運転モード表で決めること
運転モードごとに、選択できる役割、切替前条件、有効な操作、速度や出力の制限、モード変更時の状態を定義します。「誰でも手動にできる」「自動中でも保全画面から出力を動かせる」といった実装は、操作ミスだけでなく検収漏れを生みます。
| モード | 主目的 | 切替前条件の例 | 権限の例 | 切替後状態 |
|---|---|---|---|---|
| 自動 | 定常生産 | 原点・安全条件・レシピ確認 | オペレーター | READY |
| 手動 | 個別アクチュエータ確認 | 自動停止、ワーク状態確認 | 教育済み担当者 | MANUAL IDLE |
| 段取り | 品種・治具変更 | 生産終了、残留ワーク処置 | 段取り担当 | CHANGEOVER |
| 保全 | 点検・診断 | エネルギー管理手順に従う | 保全権限 | MAINTENANCE |
表中の条件は設計例であり、実設備の安全要求を決めるものではありません。とくに保全時の危険源隔離や安全機能は、通常シーケンスとは別のリスクアセスメントに基づきます。
状態遷移表は「入口・滞在・出口」で書く
状態名だけでは検証できません。各状態について、入口アクション、滞在中の出力・監視、正常遷移、異常遷移、出口アクションを記述します。ISAが2022年に公開したISA-TR88.00.02-2022は、ISA-88の概念を自動機の状態とモードへ適用し、一般・個別状態モデル、手続き、実装例、タグ命名の例を扱うと説明されています。自社設備に状態モデルをそのまま当てはめるのではなく、共通語彙を作る参考にできます。
| 現在状態 | 入口処理 | 滞在中の監視 | 正常遷移 | 異常遷移 | 出口処理 |
|---|---|---|---|---|---|
| READY | レシピ・原点確認 | 起動許可 | STARTかつ全許可→STARTING | 許可消失→STOPPED | サイクルID採番 |
| STARTING | 必要出力を順次起動 | 起動応答 | 全応答→RUNNING | 応答期限超過→ABORTED | 起動結果記録 |
| RUNNING | 工程実行 | 品質・設備条件 | 工程完了→COMPLETING | 重大異常→ABORTING | 工程結果確定 |
| HELD | 品質状態を保持 | 再開条件 | 再開承認→UNHOLDING | 保持不可→ABORTING | 保持時間記録 |
| ABORTED | 危険でない停止状態へ | 原因・残留状態 | 原因除去と承認→CLEARING | 再発→ABORTED | 復帰証跡記録 |
状態名は例です。重要なのは、状態遷移がラダー内部の暗黙の自己保持ではなく、表とコードとHMIで同じ意味を持つことです。
許可条件、インターロック、異常を分ける
現場では三つをすべて「インターロック」と呼びがちです。しかし、起動を許さない条件、運転中に出力を止める条件、異常として記録すべき事象は目的が違います。混在すると、なぜ起動できないのか、異常リセットが必要なのか、入力が戻れば自動再開してよいのかが分からなくなります。
許可条件
許可条件は、操作要求を受け付ける前提です。原点確認、材料有り、下流受入可能、正しいレシピ、設備間ハンドシェイク成立などが該当します。不成立なら「起動不可理由」をHMIへ出し、異常履歴を無制限に増やさない設計が考えられます。
通常制御上のインターロック
通常インターロックは、工程の整合や機器保護のため特定出力を禁止します。たとえばクランプ確認前の加工開始禁止、上昇端確認前の搬送禁止です。解除後に自動復帰するか、再操作を要求するかを個別に決めます。
異常
異常は、オペレーターや保全担当者の対応、品質判定、履歴保存が必要な事象です。異常コード、発生状態、関連入力、対象ワーク、初回発生時刻、復帰時刻を記録できると原因分析が容易になります。「センサー異常」という大分類だけではなく、どの期待応答がどの期限までに得られなかったかを示します。
タイムアウトは単なるタイマー値ではない
タイムアウト仕様には少なくとも、監視開始条件、期待応答、期限、成立判定、期限超過時の遷移先、出力処置、品質処置、再試行可否が必要です。タイマー値だけを表にしても、いつ計時が始まるか不明ならFATで再現できません。
計算例（仮定）として、アクチュエータの通常応答が0.8秒、観測上のばらつき上限が0.3秒、通信・スキャン余裕を0.4秒と仮定する場合、初期監視値を 0.8 + 0.3 + 0.4 = 1.5秒 と置き、FATと実機SATのログで再調整する考え方があります。この1.5秒は一般推奨値ではなく、仮定に基づく例です。空圧、負荷、温度、設備劣化、PLC周期など実条件で妥当性を確認します。
タイムアウト後に同じ出力を出し続ける設計は、故障状態を悪化させることがあります。一方、直ちに全出力を落とすとワーク落下や品質不明を招く場合もあります。そこで「異常時の安全な状態」と「品質を保つ停止状態」を混同せず、リスクアセスメント、機械設計、工程要求を合わせて決めます。
異常コードとHMI表示を受入仕様にする
良い異常メッセージは、原因を断定するのではなく、PLCが観測した事実と次に確認する箇所を示します。「シリンダ故障」では、シリンダ本体、バルブ、空圧、配線、センサー、機械噛み込みのどれかを断定できません。「搬送前進指令後、前進端入力が監視期限内に成立しません」の方が観測事実に近く、保全員が調査しやすくなります。
異常コード表には次を含めます。
- 一意なコードと各言語メッセージ
- 発生可能なモード・状態
- PLCが観測した発生条件
- 設備が行う停止処理
- 対象ワークの品質状態
- オペレーターが確認する項目
- リセット可能条件と必要権限
- 自動再試行の有無と上限
- FATの試験ID
多言語工場では、翻訳文だけでなくコードを共通にします。タイ語HMIと日本語の保全資料で文言が違っても、コードが一致すれば会話とログ解析を接続できます。
異常復帰シーケンスは「リセット」と「再開」を分ける
リセットボタンで異常ビットを消し、そのまま出力が再始動する設計は避けるべきです。復帰は少なくとも、原因除去の確認、異常認知、設備状態の整合、ワーク品質判断、原点または再開地点の決定、再開承認に分けます。
復帰権限を決める
軽微な材料補給はオペレーターが復帰できても、サーボ追従異常、品質データ不整合、保護装置作動後は保全・品質担当者の確認が必要かもしれません。権限はHMIのログイン階層だけでなく、誰が何を確認したかを監査ログへ残す要件とセットにします。
残留ワークを扱う
途中停止したワークは、設備の機械状態が戻っても品質状態が戻るとは限りません。処理済み工程、測定値、トレーサビリティID、保持時間、再加工可否を確認し、再開、排出、隔離、廃棄のどれかへ遷移させます。PLCが品質最終判断を代行するのではなく、MESや品質手順との責任境界を明確にします。
電源再投入を独立ケースにする
電源断では揮発データ、出力状態、通信セッション、サーボ位置、外部装置の状態が変わります。通常の異常リセットと同じ復帰経路にすると、再起動直後に不整合が起きます。保持するデータ、初期化するデータ、再照合するデータを分類し、復電後状態を定義します。
レシピ版とソフトウェア版を組み合わせて管理する
PLCプログラムが同じでも、レシピ値、HMI設定、ロボットプログラム、ビジョン条件が違えば設備動作は変わります。検収時に「どのPLC版を使ったか」だけを記録しても再現性がありません。FATの試験結果には、PLC、HMI、ロボット、ビジョン、レシピ、図面の版を一つの構成として紐付けます。
版更新時は、変更理由、変更者、承認者、影響する状態・異常・品種、再試験範囲を残します。現場でオンライン修正した場合も正式版へ回収し、次の保守PC接続で古い版に戻らない運用が必要です。PLC更新・レトロフィットでは既設設備移行の論点を説明していますが、新設でも版の一貫性は同じく重要です。
状態表×故障注入でPLC FATを設計する
FATは正常運転のデモではなく、仕様の各要求を入力操作で再現し、期待状態・出力・表示・ログ・復帰を証明する場です。試験仕様を状態表から作れば、作成者の経験だけに依存せず、抜けを見つけられます。
故障注入マトリクスの列
| 列 | 内容 | 記録例 |
|---|---|---|
| TEST ID | 要求と結ぶ一意ID | FAT-SEQ-xxx |
| 初期モード・状態 | 注入前の設備条件 | AUTO / RUNNING |
| 注入 | センサー固定、通信遮断など | 入力不成立を模擬 |
| 期待状態 | どこへ遷移するか | HOLDING→HELD |
| 出力・品質 | 出力処置とワーク扱い | 搬送停止、品質保留 |
| ALARM | コードと表示 | コード一致を確認 |
| RECOVERY | 除去、認知、復帰権限 | 保全権限で承認 |
| EVIDENCE | ログ、画面、動画、版 | イベントCSVと画面 |
試験ケースを状態から展開する
各状態について、正常遷移、許可条件不成立、期待入力が来ない、入力が途中で消える、停止要求、モード変更要求、通信断、電源再投入を検討します。すべての組合せを無制限に試すのではなく、リスク、発生可能性、検出困難性、品質影響を見て重点化します。
計算例（仮定）として、8状態に対して各3種類の代表故障を設定すると 8 × 3 = 24ケース です。さらに3運転モードすべてで繰り返すと72ケースになりますが、モード間で論理が共通なら代表ケースへ絞れます。この数は推奨試験数ではなく、範囲見積りの考え方を示す仮定です。
模擬方法を合意する
入力を強制する方法、シミュレータを使う方法、コネクタを外す方法では、再現性と安全性が違います。FAT前に、模擬可能な入力、実機でしか確認できない項目、強制解除の確認方法、テストモードのアクセス権を決めます。テスト用バイパスが量産版に残る場合は、権限・表示・自動解除・ログを要求します。
合否を観測可能にする
「正しく停止した」は合否条件になりません。期待状態、出力、HMIコード、品質フラグ、イベント時刻、復帰可能権限を列に分けます。試験者がPLCオンライン画面だけで判定すると、発注者が後から証跡を再確認できません。HMIイベント、CSV、トレンド、スクリーンショットなど、引渡し可能な証跡を定義します。
FATとSATの役割を分ける
FATで再現できるのは、盤・PLC・HMI・シミュレータまたは組立済み装置の範囲です。SATでは実際のユーティリティ、上位システム、前後設備、製品、作業者、ネットワーク条件を含めて確認します。FAT合格をもって量産条件すべてが確認済みとはしません。
| 確認項目 | FATで主に確認 | SATで主に確認 |
|---|---|---|
| 状態遷移ロジック | シミュレーションを含む全遷移 | 実設備条件で代表遷移 |
| I/O | 模擬または盤内信号 | 実センサー・アクチュエータ |
| タイムアウト | 論理と異常遷移 | 実負荷で時間妥当性 |
| 上位通信 | テスト環境・模擬応答 | 本番MES等との接続 |
| レシピ | 境界・不正値 | 実製品の承認条件 |
| 復帰 | 権限・状態・ログ | 現場手順と教育を含む確認 |
SATで調整した値やロジックは、FAT承認版との差分として管理します。現場調整を「微修正」と呼んで記録しないと、最終納品版、バックアップ、試験結果が一致しません。設備調達全体の仕様境界はタイでの専用機製作・調達も併せて参照してください。
要求から監査ログまで証拠を一本につなぐ
試験成績書だけを作っても、要求やソフト版と結び付かなければ、変更後に何を再試験すべきか分かりません。要求ID、状態表、コード版、試験ID、結果、承認、イベントログを一つの証拠チェーンにします。
最低限、次の関係を追跡できるようにします。
- 顧客要求が、どのモード・状態・遷移へ反映されたか。
- その要求を実装したPLC/HMI/レシピの版は何か。
- どのFAT/SAT試験で確認したか。
- 実測結果と添付証跡は何か。
- 誰が、いつ、どの条件付きで承認したか。
- 量産中の異常・復帰ログで同じIDを追えるか。
この仕組みがあれば、「ある異常コードの表示文を変更した」「レシピ境界値を変えた」とき、再試験範囲を判断できます。監査ログは個人を監視するためではなく、異常復帰の事実、版、判断を再構成するために使います。保存期間やアクセス権は顧客の品質・セキュリティ方針に合わせます。
通常シーケンスと機能安全の境界
ここは最も重要な注意点です。通常PLCで組んだ停止条件、インターロック、非常停止の表示、異常復帰ロジックは、それだけで機能安全の要求を満たしません。ISO 12100:2010は機械類のリスクアセスメントとリスク低減の原則・方法論を扱い、ISOのページでは2022年にレビューされ確認済みとされています。ISO 13849-1:2023は安全関連制御システム部の設計・統合の方法論を扱い、ソフトウェアも範囲に含みます。
したがって、危険源の同定、必要なリスク低減、安全機能、要求性能、アーキテクチャ、診断、妥当性確認は、適格者が適用規格と機械のリスクに基づいて別途実施します。通常シーケンスの状態表は、安全機能の作動後に設備をどう管理し、原因除去後にどう再開するかを整理する助けにはなりますが、安全PLCや安全回路を置き換えません。
発注仕様では少なくとも、通常PLC、安全PLC/安全回路、ドライブ安全機能、機械的保護、作業手順の責任分界を示します。安全信号を通常PLCが参照する場合も、通常PLCの表示・履歴機能と、安全機能そのものを混同しない表現にします。
タイの設備投資で押さえるBOI情報
タイBOIの2026年上期発表では、Smart and Sustainable Industryに132件、合計171.58億バーツ（THB 17.158 billion）の申請があったと報告されています。これは申請活動の統計であり、個別プロジェクトの承認や優遇を保証する数字ではありません。
BOIの現行案内では、対象措置の最低投資額は土地代と運転資金を除き100万バーツです。また、適格投資額の50%を上限とする3年間の法人所得税免除、または機械・自動化・ロボット価値の少なくとも30%が国内自動化機械産業に連携・支援する場合に100%とする経路が案内されています。設備の内容、申請時期、費目、国内産業との関係などで判断が変わり得るため、自社案件の適格性と算定は必ずBOIまたは専門家へ確認してください。
シーケンス制御の状態表、版管理、FAT証跡は、投資効果や設備能力の説明を支える資料にはなりますが、BOI要件を自動的に満たすものではありません。技術検収と投資優遇申請の責任を分け、必要な証拠を早い段階で揃えることが大切です。
発注仕様書に入れる実務チェックリスト
見積依頼前
- 対象設備、製品、前後工程、上位システムの境界を示したか。
- 運転モードと状態モデルのたたき台を添付したか。
- 正常サイクルだけでなく、停止、保留、中止、異常、復帰を範囲に入れたか。
- 許可条件、通常インターロック、安全機能の用語を分けたか。
- 多言語HMI、異常コード、ログ出力の要求を示したか。
- PLC、HMI、ロボット、レシピを構成版として管理する要求があるか。
設計レビュー
- 全状態に入口、滞在、出口の定義があるか。
- 各遷移条件が一意で、禁止遷移が明示されているか。
- タイムアウトの開始点と期限超過動作が明確か。
- リセットと再開が分離されているか。
- 電源再投入、通信断、途中ワークの扱いがあるか。
- 通常制御が機能安全の代替のように記述されていないか。
FAT前
- 状態表から故障注入マトリクスを作ったか。
- 各試験の初期条件、注入方法、期待状態、合否が観測可能か。
- テスト用強制・バイパスの権限と解除確認があるか。
- 試験対象の全ソフト・レシピ版を固定したか。
- 不合格時の修正、再試験、条件付き承認の手順を決めたか。
- 証跡の形式と引渡し物を合意したか。
SAT・引渡し
- 実負荷でタイムアウトを確認し、変更差分を記録したか。
- 上位通信と前後設備を含む異常・復帰を確認したか。
- 役割別に復帰操作と品質判断を教育したか。
- 最終版バックアップと試験版が一致するか。
- オープン項目、暫定処置、完了期限、責任者を残したか。
- 量産後に異常ログを分析するレビュー方法があるか。
よくある失敗と修正方法
正常サイクル図だけで発注する
フローチャートに正常工程しかなければ、異常時の動作は供給者の標準や担当者判断になります。状態表に異常遷移と復帰条件を追加し、FATの試験IDを紐付けます。
ラダープログラムのレビューだけで合格を決める
コードレビューは重要ですが、入力を注入したときの外部観測結果を代替しません。状態、HMI、出力、ログ、品質フラグを含む試験結果で受け入れます。
すべての異常を一括リセットする
原因も権限も異なる異常を一括で消すと、再発と品質影響を追えません。異常クラスごとに認知、原因除去、設備整合、再開承認を定義します。
SATの現場修正を正式版へ戻さない
納品バックアップが現場版と不一致になり、次回保守で巻き戻ります。変更管理票に版、理由、影響、再試験を記録し、承認済み最終構成を再取得します。
FAQ
シーケンス制御とは何ですか？
定めた条件と順序に従い、設備の状態を遷移させながら出力や工程を進める制御です。実務では正常順序だけでなく、モード、許可条件、停止、タイムアウト、異常、復帰、ログまで含めて仕様化すると検収可能になります。
ラダープログラムとSFCはどちらを指定すべきですか？
設備、PLC、供給者の標準、保守体制で選びます。LDは接点条件を追いやすく、SFCは状態・ステップの骨格を共有しやすい特徴があります。形式の指定より、状態表とコードの対応、命名、遷移条件、テスト可能性を要求する方が重要です。
状態遷移制御のFATは何を確認しますか？
各状態からの正常・異常遷移、許可条件、タイムアウト、出力処置、HMI表示、品質フラグ、ログ、復帰権限を確認します。初期条件と故障注入方法を固定し、期待結果を観測可能な項目に分けます。
異常復帰シーケンスで最初に決めることは何ですか？
リセットと再開を分け、原因除去、設備状態、残留ワークの品質、再開地点、承認権限を決めます。電源再投入や通信復旧は通常リセットと別ケースで検討します。
PLC FAT受入テストだけで安全性を証明できますか？
できません。通常PLCのFATは通常制御の要求確認に役立ちますが、機械のリスクアセスメント、安全関連制御システムの設計・統合・妥当性確認を代替しません。適用規格とリスクに基づく機能安全活動が別途必要です。
BOIの自動化投資優遇は必ず受けられますか？
必ず受けられるものではありません。BOIの現行要件には投資額や費目、国内自動化産業との関係などの条件があります。案件ごとの対象性、算定、申請時期をBOIまたは専門家へ確認してください。
まとめ
シーケンス制御を検収可能にする鍵は、正常運転ラダーの完成ではなく、運転モード、状態遷移、許可条件、タイムアウト、異常コード、復帰権限、レシピ/ソフト版、監査ログを発注境界として定義することです。状態表から故障注入マトリクスを作り、FATとSATで期待状態・出力・品質・表示・ログ・復帰を証明すれば、納期末の解釈違いを減らせます。通常制御と機能安全を明確に分け、要求から版、試験、承認までの証拠チェーンを残すことが、量産後も保守できる設備につながります。
タイで新設・改造設備のシーケンス制御仕様やPLC FATを検討中であれば、状態表や故障注入項目がまだ固まっていない段階でもご相談いただけます。既存の発注仕様と現場運用の間にある抜けを整理したい場合は、TOMAS TECHへのお問い合わせをご利用ください。
参考情報
- IEC, IEC 61131-3:2025: https://webstore.iec.ch/en/publication/68533
- PLCopen, Software Construction Guidelines: https://plcopen.org/software-construction-guidelines
- ISA, Standards News Archives（ISA-TR88.00.02-2022の公開情報）: https://www.isa.org/standards-and-publications/isa-standards/news/standards-news-archives
- ISA, TR88.00.02 preview（2015年版の背景資料）: https://www.isa.org/getmedia/300dbd50-d549-41ac-b372-a5e52f32fc97/tr_880002_preview.pdf
- ISO, ISO 13849-1:2023: https://www.iso.org/standard/73481.html
- ISO, ISO 12100:2010（2022年確認済み）: https://www.iso.org/cms/%20render/live/en/sites/isoorg/contents/data/standard/05/15/51528.html?browse=tc
- Thailand BOI, 1H2026 investment applications: https://www.boi.go.th/index.php?_module=news&from_page=press_releases2&language=en&page=press_releases_detail&topic_id=139075
- Thailand BOI, Smart and Sustainable Industry measure: https://www.boi.go.th/th/smart_sustainable
