「非常停止を押したのに止まらなかった」は絶対に起こしてはいけない
非常停止は、人が危険を認めたときに機械を停止させるための補完的な保護方策だ。本質的安全設計や安全柵などの代わりにはならない。
設備で「EMO」と表示されるボタンも、仕様書で機能を確かめよう。非常停止（emergency stop）と、感電・電気火災などに対処する非常電源遮断（emergency switching off）は目的が異なる。 以下では、機械の危険な動きを止める非常停止を扱う。Schneider Electricの機能区分の説明
生産技術担当者が押さえるのは、止める範囲・止まり方・故障時の振る舞い・復帰の条件だ。構想段階のリスクアセスメントから設計者と共有し、回路図と受入試験へつなげる。
非常停止回路の基本構成
非常停止は、通常のPLCプログラムが正常に動くことだけに依存させない。安全リレーユニットによる構成に加え、安全PLCで安全機能を実装する構成もある。安全機能に必要な入力・論理・出力と診断を一体で設計し、要求性能を確かめる。三菱電機の安全PLC適用例（SH080613ENG-H、5.6.1節）でも安全プログラムを使用しており、「PLCを使えば不可」とはならない。
概念図。配線図ではありません。必要な故障検出・出力機器の状態監視・復帰条件は別に設計します。この並びだけでカテゴリやPLは決まりません。
非常停止ボタンの「b接点」（常閉）と断線
機械式の非常停止スイッチでは、停止要求のために通常は閉じ、押すと開くNC接点（b接点）を使う。適切に構成した入力回路では、その経路の断線も開路となり、停止要求として扱える。停止用の接点には直接開路動作も確認する。IDECのスイッチ解説
ただし、b接点だから全故障で安全になるわけではない。短絡や接点溶着、出力機器の故障などは別に検討し、必要な診断と故障時の措置を設計する。物理接点のa／bと、ラダープログラムで入力ビットをどう判定するかも別の話だ。入力の正常時・作動時・異常時の信号状態から確認する。
⚠️「カテゴリ」は2種類ある。混ぜると設計を間違える
非常停止の話で出てくる「カテゴリ」には、出どころの違う2つがある。同じ番号でも意味が違う。
| 何を決めるか | 出どころ | |
|---|---|---|
| 停止カテゴリ 0 / 1 / 2 | どう止めるか | IEC 60204-1（機械の電気装置） |
| カテゴリ B / 1 / 2 / 3 / 4 | 故障に対する安全関連制御の振る舞い | ISO 13849-1（制御システムの安全関連部） |
「安全カテゴリ」という呼び方を聞いたら、規格名も確かめよう。ISO 13849-1のカテゴリに0はない。以下は考え方の概説で、規格の要求事項を網羅する表ではない。
停止カテゴリ（IEC 60204-1）── どう止めるか
| 停止カテゴリ | 止め方 | 非常停止としての選択 |
|---|---|---|
| 0 | 機械のアクチュエータへの動力を直ちに除去する、制御によらない停止 | 0または1から、リスク評価と機械の機能に応じて選ぶ |
| 1 | 停止に必要な動力を供給して制御停止し、その後にアクチュエータへの動力を除去する | 同上 |
| 2 | 制御停止した後も、アクチュエータへの動力を維持する | 非常停止には用いない |
IDECのIEC 60204-1:2016解説に基づく。0の「直ちに」は動力除去のことで、機械が時間ゼロで停止する意味ではない。 惰走や落下など、遮断後の動きも確認する。1でも減速の制御、停止までの時間、その後の保持方法を確かめる。
「コンベアだから1」「電源を切れるから0」と機種名だけで決めない。最大荷重・速度・姿勢などの条件で、停止が新たな危険を生まないかを評価する。垂直軸や吊り荷は、動力除去で落下しない保持措置も必要になる。
カテゴリ（ISO 13849-1）── 故障にどう備えるか
| カテゴリ | 考え方と注意点 |
|---|---|
| B | 基本的な安全原則などに従う。故障によって安全機能を失うことがある |
| 1 | Bに加え、実績ある部品・安全原則を使う。単一故障による機能喪失はあり得る |
| 2 | 適切な時点・間隔で検査し、検出した故障に対処する。検査の間に機能を失う可能性が残る |
| 3 | 単一故障で安全機能を失わず、合理的に実行できる範囲で故障を検出する。未検出故障の蓄積には限界がある |
| 4 | 単一故障で機能を失わず、要求時までに故障を検出する。検出できない場合にも、未検出故障の蓄積で機能を失わないようにする |
DGUV・IFA Report 1/2025（ISO 13849-1:2023の解説、8.2.3〜8.2.7節）を基に、違いだけを要約した。考慮する故障・使用条件・検査条件などの詳細は省略しており、「何が何個壊れても必ず安全」という保証ではない。
必要な性能は、安全機能ごとにリスクアセスメントと適用要求から要求パフォーマンスレベル（PLr） などとして定める。ISO 13849-1を用いる場合は、構成のカテゴリだけでなく、部品の信頼性・診断・共通原因故障への対策などから達成するPLを評価する。「高リスクだからカテゴリ3」「二重化したからPLを満たす」とは決められない。 ISO 13849-1:2023の公式適用範囲も、個々の用途の安全機能やPLrを一律に指定するものではないと説明している。
非常停止の個別要求も別途確認する。IDECのISO 13850:2015解説では最低要求をPLr cまたはSIL 1として紹介している。表にB〜4が載っていることは、どの構成でも非常停止に採用できるという意味ではない。適用する版・機械別規格・地域の要求を設計時に確認する。
この2つは独立に決める
制御して止める方式を選ぶだけでは、故障耐性を満たしたことにならない。リレーの個数や各軸への個別遮断だけでカテゴリ相当と判定することもできない。
セーフティリレーの役割
強制ガイド接点を持つリレー部品と、安全リレーユニットを区別する。 リレー部品だけが自己診断するわけではない。接点の関係を利用して、別の回路から溶着などを検出できるようにする。オムロンの使用上の注意
安全リレーユニットは、入力監視・内部診断・出力機器の監視などを所定の構成で行う。ただし機能、診断の時点、復帰方法は型式と接続による。例えばG9SX-AD／BCは半導体安全出力を使い、出力ON中にも診断パルスがある。すべてを「起動時に機械接点を診断する」とは説明できない。G9SX仕様
| メーカー・製品例 | 役割を確認する入口 |
|---|---|
| Pilz myPNOZ | モジュラー安全リレー。必要な機能に合わせて構成を確認する |
| オムロン G9SA／G9SX | 安全リレーユニット／フレキシブル・セーフティユニット。出力方式・診断・外部機器の接続条件を型式ごとに確認する |
| Schneider Electric Preventa XPSAC | 安全リレーの例。対応する取扱説明書で用途と回路を確認する |
| キーエンス SL-V | セーフティライトカーテン（検出器）。汎用安全コントローラとして分類しない |
SL-Vの仕様では安全出力OSSDと非安全回路用AUX出力、EDM入力などの役割が分かれている。名称や信号のON／OFFだけで置き換えず、接続先まで含めて確認する。SL-V仕様
安全PLCも選択肢だ。安全機能の数や論理、必要性能、診断、運用・保守を踏まえて選ぶ。安全機器を購入しただけでは、機械全体の安全機能を検証したことにはならない。
設計ミスと事故につながる条件の確認
ミス①：非常停止をPLCプログラムだけで実装した
通常PLCの通常プログラムだけに非常停止を依存させると、そのPLCや出力側の故障によって停止できなくなるおそれがある。故障時の動作まで設計・検証する。
確認する条件：通常PLCの通常プログラムだけに停止を依存させた構成では、PLCや出力側の故障によって停止できなくなるおそれがある。必要な安全性能に応じ、入力・論理・出力を含む安全関連部の構成と故障時の動作を検証する。
設計の確認では、通常PLCの通常プログラムだけに安全機能を依存させていないかを見る。安全PLCによる実装は、上記の安全機能全体の設計・検証を伴う別の構成であり、一律に除外しない。
ミス②：EMOボタンを1つしか設置しなかった
大型設備では、操作位置以外にも作業者が介入する場所を洗い出し、必要な位置に非常停止を設ける。反対側や搬入出位置で必要な操作ができるかを確認する。
配置は作業位置とリスクアセスメントから決める。ISO 13850:2015を紹介するIDECの解説では、各操作位置（リスク評価で不要とする場合を除く）と、必要と判断される他の位置を挙げている。出入口や介入・搬入出の場所も検討し、必要な人が危険なく直接操作できるようにする。「設備のどこからでも届く」とだけ書いて配置を決めない。
ミス③：EMOを解除したら即時に再起動した
非常停止の解除だけで自動運転が再開する設計では、危険区域内に人が残るなどの条件で危害につながるおそれがある。解除と始動を分けて確認する。
解除前に作動の原因と安全を確認し、解除は意図的に行う。ボタンの解除や必要な復帰確認だけで機械を再始動させず、別の始動操作が必要な設計にする。 非常停止機器の解除自体も「リセット」に含まれるため、全設備に独立したリセットボタンが必須という意味ではない。安全制御側のリセットの要否・位置・成立条件は、機器仕様と機械のリスク評価で定める。IDECの解除の説明、厚生労働省指針・別表第4の1
ミス④：EMOボタンのカバーをテープで固定した
誤って押されることへの対処として非常停止ボタンをテープで固定し、操作不能にしてはならない。必要時に停止要求を出せなくなるため、誤操作の原因と配置を見直す。
誤操作があれば発生状況を調べ、配置などを見直す。原因を位置だけに決めつけず、非常停止を操作できなくする固定は行わない。適切な位置などで防げず保護ガードが必要な場合も、非常時の操作を妨げないことが条件になる。IDECの意図しない作動への対策
グレーゾーン：非常停止でどこまで止めるか
| 状況 | 設計時に確かめること |
|---|---|
| コンベア上に荷物がある／ロボットが高速で動く | 慣性・荷重・姿勢・停止時間と停止による新たな危険を評価し、0か1を選ぶ。機種だけで決めず、停止後の保持も確認する |
| 複数ゾーンに分けたい | 全機械を対象とする原則を出発点に、限定する理由と範囲を定義する。操作位置で停止範囲が分かり、危険と対応し、他範囲にも追加の危険を生まず、他の非常停止を妨げないことを確認する |
| 非常停止後にもデータを保存したい | 遮断する駆動用動力と、残す制御・記録用電源を設計上区別する。停電時の保存方法も定め、記録処理の成否や完了待ちを安全停止の前提にしない |
| 停止後に内部へ入って保全する | 非常停止の解除防止だけで済ませず、作業に必要なエネルギー隔離と残留エネルギーの処置を定める |
停止範囲の条件はISO 13850:2015のメーカー解説、停止保持と隔離は厚生労働省指針・別表第3の6／別表第4の3を参照。非常停止を押した状態が、全電源の隔離や空圧・重力などの残留エネルギー処置を意味するわけではない。
社内で説明するときの言い方
- 現場へ：「このボタンで止まる範囲と、解除・始動の手順を共有します。操作できなくする固定はしないでください。誤操作があれば状況を記録して設計者と対策を考えます」
- 設備メーカーへ：「安全機能ごとの要求性能と、停止カテゴリ0か1かを分けて示してください。入力・論理・出力の構成、診断、停止時間と保持、解除・始動条件を設計書と検証記録へ結び付けてください」
- 上司へ：「通常PLCの通常制御だけに依存させず、安全リレーユニットや安全PLCなどで要求に合う安全機能を設計します。費用は機器だけでなく、要求の整理と設計・検証にも必要です」
非常停止回路 設計確認チェックリスト
チェック欄は設計資料の不足を見つける入口であり、すべて埋めれば適合が成立する判定表ではない。
- リスクアセスメントから、安全機能・対象危険・適用規格の版・要求性能を定めたか
- 非常停止は通常のPLCプログラムの正常動作だけに依存しない構成か。安全PLCを用いる場合も、安全入力から最終出力まで含めて設計・検証しているか
- ボタンの接点、直接開路動作、配線、入力状態を確認し、断線以外の故障も検討したか
- 停止カテゴリ0か1かを別に決め、条件別の停止時間・惰走・落下・停止後の保持を確認したか
- 必要な操作位置、停止範囲の識別、他ゾーンへの影響を確認したか
- 解除・必要な復帰確認・始動を区別し、解除だけで再始動しないことを検証したか
- 機器の型式・接続・診断・外部出力機器の監視条件を確認したか
- 駆動動力、制御・記録用電源、保全時に隔離するエネルギーを区別したか
- 危険源と安全機能の識別番号を使い、要求→回路／プログラム→試験条件と結果を追えるか
例えば「この区域の危険な動作を非常停止する」という要求について、区域図、停止方式・時間、保持方法、故障時の応答、復帰・始動条件を同じ識別番号に結ぶ。受入で何をどの条件で確認するかは、設計段階で合意しておく。機械安全設計の基礎からリスク評価と安全要求の整理につなげよう。
まとめ
非常停止は、通常のPLCプログラムの正常動作だけに依存させず、安全リレーユニットや安全PLC等で要求を満たすように設計する。どう止めるか（停止カテゴリ0か1か／IEC 60204-1）と、故障時にも必要な安全機能を果たせるか（カテゴリとPL等／ISO 13849-1）は別々に確認する。
通常制御からの独立性と安全機器の有無は、回路図を見る最初の着眼点になる。そこから、要求性能、入力から出力までの故障対応、停止時間と保持、停止範囲、復帰・始動条件の検証まで確認して、受入判断につなげる。
関連記事
- 制御盤設計の基本 — 制御盤の部品構成と設計ルール
- センサ選定の基本 — 近接・光電などの検出方式と使用条件に応じた選定
- ライトカーテンの導入ガイド — 安全距離と設置条件を検討する入口