- まず、確実な機械的サポートと機械的自己保持による負荷経路を定義し、次に作動と監視を構成します。
- 故障後は、負荷を保持し、危険な動作を停止し、解放を禁止し、安全な回復経路を提供します。
- 圧力、バルブ、ロック、センサー、通信、不一致、および意図しないリリースコマンドに関する障害注入ケースを開発する。
- シミュレーションおよび代理負荷から実際のバッテリパックまで段階的に進み、対応する安全要件まで追跡可能な記録が得られる。
00 要約
駆動用バッテリーパックは重く、重心の条件も複雑です。筐体、シール面、高電圧接続部、冷却接続部は機械的損傷の影響を受けやすく、セルが損傷すると追加のリスクが生じる可能性があります。空気圧や電源の喪失、不完全なロック、誤ったセンサー信号、意図しない解放は、落下や筐体・絶縁・冷却システムの損傷につながるおそれがあります。GB 38031-2025は2026年7月1日に施行され、電気自動車用駆動バッテリーの安全要件を定めています［1］。この規格はバッテリー製品の安全性を扱うものであり、搬送治具の機械的安全設計に代わるものではありません。そのため、治具設計では機械的損傷やエネルギーに関する異常事象を抑制する必要があります。
フェールセーフアーキテクチャは、確実な機械的サポート、機械的自己保持ロック、支持負荷解放インターロック、および複数の信号を使用する診断を組み合わせている。重い荷物の保持は主に摩擦や継続的な空気圧に依存すべきではありません。機械的負荷経路と閉じたロック状態は明示的である必要があります。圧力、位置、ロック、負荷の状態を一緒に監視して、リリース前にサポートを確認する必要があります。安全関連の制御機能は、ISO 13849-1:2023 に従って設計され、ISO 13849-2:2012 [2][3] に従って分析およびテストを通じて検証される場合があります。必要なパフォーマンス レベルは、特定のリスク評価によって決定されます。
主要結果
- 重いバッテリパックは、主要な負荷経路として幾何学的支持と機械的自己保持機能を使用するものとする。単一の空気圧、真空、または摩擦機能が唯一の落下防止手段であってはなりません。
- フェールセーフ動作は、診断可能な回復経路を維持しながら、荷重を保持し、危険な動作を停止し、解放を阻止することを目的とする。障害発生後に生産を継続することが目的であってはなりません。
- 故障注入は、センサーの固着、信号の短絡/開放、バルブの固着、パイプの破裂、圧力降下、通信の停止、レシピの不一致、および誤った解放コマンドをカバーしなければならない。
- 低エネルギーから高エネルギーへ、代理負荷から実際のバッテリパックへ、および単一故障から正当化された故障の組み合わせへ。
- 検証記録は、完全なトレーサビリティを提供するために、各安全要件をその障害の仮定、テスト手順、生の信号、評価および是正措置の結果にリンクする必要があります。
01研究範囲と安全目標
この研究は、組み立て、検査、修理、およびラインサイドでの移送時のバッテリモジュール、下部エンクロージャ、バッテリトレイ、および完全な牽引用バッテリパック用の専用工具に取り組んでいます。キャリアは、空気圧式産業用マニピュレーター、昇降装置、ロボット、または専用機械などです。範囲は、セルの電気化学設計、BMS アルゴリズム認証、および輸送規制を除く、ツールとその制御インターフェイスをカバーします。
安全目標は 4 つのカテゴリーに分類されます。バッテリーパックのハウジング、シール面、またはインターフェースが製品の制限を超えて取り扱うことによる損傷を防止します。単一の工具の欠陥が危険な放出を直接引き起こすことを防ぎます。また、異常状態時に荷重を安全なサポートに移すための定義された手順を提供します。 ISO 12100 では、機械のライフサイクル全体にわたる危険の特定とリスクの軽減が求められています [4]。一方、ISO/TR 20218-1 では、ロボット エンド エフェクターの設計と統合に関する安全ガイダンスが提供されています [5]。
| 安全機能 | トリガー条件 | ターゲット応答 | 必要な記録 |
|---|---|---|---|
| グリップ・サポート確認 | 受け取り前 | 確認なしに持ち上げることは禁止されています | 位置、圧力/力、ロック状態 |
| 荷重保持力 | 空気供給の喪失、電力の喪失、バルブの故障 | 危険な放出はありません。動きが止まった | 保持時間、変位、構造状態 |
| サポートされた負荷の解放 | 許容された向きで支持されるワークピース | これらのチェック後にのみロック解除/クランプ解除が許可されます | 信号、位置、コマンド記録をサポート |
| 不一致の防止 | バッテリーのモデル/工具/レシピが矛盾しています | クランプとリフトの禁止 | ID、レシピバージョン、連動ログ |
| 状態異常回復 | 安全関連の障害 | 制御されたセットダウンまたはメンテナンス状態に入る | 回復手順と認証記録 |
02耐荷重アーキテクチャとフェールセーフ原理
02.1 確実な機械的サポート
バッテリパックの下側の構造領域および非接触領域からの支持経路を画定する。サポート アーム、フォーク サポート、耐荷重穴またはサイド レールを介して配置するか、製品サプライヤーによって承認された機械式グリップ ポイントを使用することを推奨します。シリンダーまたはモーターが工具を閉じたり、位置決めしたり、ロックしたりする場合、その構造はエネルギー損失後の荷重保持を考慮する必要があり、すぐにすべての保持能力を失ってはなりません。
力が摩擦クランプによって伝達される場合、最小摩擦係数、接触材質、表面状態、およびクランプ力に関する検証可能なデータを取得してください。また、エンクロージャ、冷却プレート、シール面、コーティングに対するクランプの影響も評価します。重荷重を保持するには、最初に確実な機械的サポートを評価してください。クランプ力を増加させるだけでは、リスクに対処する適切な方法とは言えません。
02.2 荷重ケースと計算例
F_eq = m · (g + a_z) + F_shock
F_design = S_L · F_eq電池パックの質量650 kg,最大上昇加速度0.25gを仮定し,追加衝撃荷重を考慮しなかった。 等価垂直荷重は約7.97 kNである。 安全係数S_L=2.0の場合,設計垂直荷重は約15.9 kNで,理想的な均一荷重の4支点は平均して1点当たり約4.0 kNを支える。 実際の設計は重心オフセット,不均一な支承剛性,製造公差,傾斜,制動,支承点の破壊を考慮する必要がある。 この例は,計画荷重定格でも推奨安全係数でもない。
重心がオフセットしている場合、静的平衡または有限要素解析を使用して各支持反応を計算します。総負荷を均等に分割しないでください。異なる長さ、質量、アクセサリ構成のバッテリー パック間で、単一のサポートでの最大反応を比較し、それをサポート設計への入力として使用します。
02.3 ロックとリリース
閉じた後、ロック機構は検証可能な機械的状態を提供するものとする。駆動エネルギーが失われた場合でも、負荷を保持するか、少なくとも危険な放出を防止する必要があります。リリースには、ワークピースがサポートされていること、治具が許可された位置にあること、動作が停止していること、人員ゾーンが安全であること、および操作コマンドが有効であることの確認が必要です。センサーの競合は、実際のフィードバックをソフトウェアのデフォルトに置き換えるのではなく、保守的な状態につながります。
03空気圧、電気および制御の安全アーキテクチャ
ISO 4414:2010 は、機械の空気圧システムおよびコンポーネントに適用され、その使用目的に関連する重大な危険性に対処します [6]。バッテリーパック治具の場合、空気圧設計はラインの破断、継手の切断、バルブスプールの焼き付き、供給圧力の変動、残留エネルギー、およびメンテナンスの分離に対処する必要があります。エアレシーバーや圧力保持装置は、容量の損失を遅らせることしかできません。これらは自動的に安全な荷重保持を構成するものではありません。
診断は、供給圧力、両方のアクチュエータチャンバまたは重要な回路内の圧力、ロック位置、ジョー/サポートアームの位置、ワークピースの存在、支持荷重の状態、荷重/重量の妥当性、および通信の健全性をカバーする必要がある。可能な場合は、物理的に多様な信号を使用します。同じ機械ターゲットから派生した 2 つの信号、または同じケーブルで伝送された 2 つの信号は、信号が 2 つあるという理由だけで独立した冗長として扱うことはできません。
Lift_Enable = Load_Present ∧ Clamp_Closed ∧ Lock_Confirmed ∧ Pressure_OK ∧ Recipe_Match
Release_Enable = Supported ∧ Safe_Position ∧ Motion_Stopped ∧ Operator_Command ∧ Diagnostics_OKこれらの論理式は関数関係を記述します。パフォーマンスレベルを示すものではありません。プロジェクトで選択された基準 [2][3] に従って、安全関連の制御アーキテクチャ、診断範囲、一般的な原因による故障対策、ソフトウェアを設計および検証します。
04ハザード分析とFMEA
| 故障モード | 局所的な原因 | 潜在的な結果 | 設計管理 | 検証方法 |
|---|---|---|---|---|
| 主空気供給の突然の喪失 | メインヘッダー内の空気の損失または継手の接続が外れている | クランプ力が低下し、荷が滑ります | 機械的サポート、自己保持ロック、逆止弁、および監視 | 空気損失故障注入 |
| 単枝断裂 | 磨耗したホースまたは破損した継手 | 片爪の破損と偏心荷重 | ゾーンの分離、サポートポイントの冗長性、および圧力監視 | 指定された場所に漏れを生じさせる |
| バルブスプールがリリース位置でスタックしている | 汚染、機械的故障 | 不注意によるクランプ解除 | リリースの隔離、2 条件の許可、および機械的保持 | 模擬バルブ焼き付き |
| 不完全なロック | 公差、異物、位置ずれ | 荷重運搬中の切断 | 独立したロックフィードバックと確実な機械的保持 | 部分ロック状態テスト |
| センサーが High にスタックした (1) | 回線ショート、ソフトウェアフリーズ | クランプされていないが持ち上げることは可能 | 相補信号およびタイミング/妥当性診断 | 信号は強制的に 1 に設定されます |
| センサーがローでスタック (0) | 開回路、目標偏差 | リリース禁止または誤った故障診断 | 開回路診断とメンテナンス状態 | 信号は強制的に 0 に設定されます |
| 間違ったモデルレシピ | バーコード読み取り、ネットワーク、またはオペレーターのエラー | 間違った荷重伝達点と干渉 | 機械的エラー防止、IDの一貫性、バージョン管理 | ミスマッチ注入 |
| 意図しない解放コマンド | ヒューマンマシンインターフェースまたはプログラムエラー | 吊り荷の落下 | 支持確認連動、位置制限、デュアルアクション | ロードが一時停止された状態で発行された解放コマンド |
| 通信中断 | バス障害、PLC 再起動 | ステータス不明 | 荷重が保持されます。動きが止まった。放出が阻害された | 注入の切断/再起動 |
| 異常負荷 | 2 つのパックを一緒に拾った、異物または重心の異常 | 構造物または吊り上げ装置の過負荷 | 重みの妥当性チェックとダブルピック防止 | サロゲートロードテスト |
FMEAをフォールトツリーまたは安全要件マトリックスと組み合わせて、荷重ドロップトップイベントを分析し、「確実な機械的サポートなし+ロック故障+意図しないリリースコマンド」または「共通原因のセンサー故障+ソフトウェア診断なし」などの最小限のカットセットを特定します。単一の障害が最上位のイベントを引き起こす可能性がある場合は、構造的な変更を優先します。発生スコアを減らすだけでは十分ではありません。
05フォールト挿入検証戦略
ISO 13849-2:2012 では、分析と試験による安全機能、カテゴリ、および性能レベルの検証を指定しています [3]。フォールト挿入は検証の一部です。完全な設計レビュー、コンポーネントデータ、計算、ソフトウェア検証も必要です。テストの前に、リスク評価、テスト領域の除外、代理負荷設計、緊急サポートおよび復旧計画を完了してください。
05.1 段階的テスト
- モデルおよびロジックステージ: シミュレーションまたはオフラインロジックに入力を強制して、ステートマシンとアラームの応答を検証します。
- 低エネルギーベンチステージ: 空のツールまたは軽量のサロゲートを使用して、配線、バルブ、および圧力の障害を注入します。
- 定格代理荷重ステージ: 同等の形状と質量の非バッテリー荷重を使用して、保持、変位、および構造を検証します。
- 実際のバッテリーパック段階: 管理されたリスクと認可の下で、初期段階ではカバーされていないインターフェイスと製品保護項目のみをテストします。
- 現場統合段階: マニピュレーター、昇降装置、コンベヤ、備品、安全システムとのインターロックを検証します。
05.2 フォールト注入マトリックス
| いいえ。 | 注入された障害 | 噴射タイミング | 予想されるシステム状態 | 主要な記録 |
|---|---|---|---|---|
| FI-01 | 主空気供給を遮断する | 持ち上げ後の静止/動作中 | 荷重が保持される。危険な動きが停止した。放出が阻害された | 圧力、変位、停止時間 |
| FI-02 | 単一分岐における急速な漏れ | 最悪の場合の向き | 障害を切り分け、警報を発し、制御されたセットダウンを可能にする状態を維持する | ゾーン圧力とサポート反応 |
| FI-03 | ロック フィードバックが High のままになっている (1) | 閉店前 | 持ち上げは許可されていません | 入出力およびアラームログ |
| FI-04 | ロック フィードバックが Low でスタック (0) | 部分ロック状態 | 妥当性診断がトリガーされます。持ち上げは許可されていません | 位置、圧力、信号の矛盾 |
| FI-05 | リリースバルブコマンドがアクティブのままになる | 負荷が一時停止されました | 物理層または制御層は危険な放出を防止します | バルブ電流、圧力、ロック状態 |
| FI-06 | 誤った支持確認信号 | サポートされる配置前 | 二重/多様なチェックによりリリースが拒否される | サポート、位置、荷重の変化 |
| FI-07 | コントローラの再起動 / 通信切断 | 取り扱い中 | 出力は定義された安全状態に入ります。荷重保持 | 再起動時間、出力ステータス |
| FI-08 | 間違ったバッテリーモデル/レシピ | 受け取り前 | レシピの不一致が検出されました。動作が禁止されました | ID、レシピバージョン、CRC/署名 |
| FI-09 | 非常停止 | 信頼できる最大動作速度 | 負荷を解放せずに停止する | ピーク加速度、構造/荷重変位 |
| FI-10 | 不正なメンテナンスリリース操作 | ロードはサポートされていません | 許可および機械的条件に従う | 権限、ステップ、ロックステータス |
各ケースについて、「合格」、「不合格」、および「エンジニアリングレビューが必要」という 3 つの可能な結果を事前に定義します。荷重が落下したかどうかに加えて、ピーク変位、ロックの変化、アラームの可視性、回復に安全機能をバイパスする必要があるかどうか、およびバッテリーパックへの隠れた損傷を記録します。
06受け入れ基準と裏付け記録
プロジェクトのリスク評価および技術協定から受け入れ基準を導き出し、少なくとも基準のカテゴリおよびその動作条件を指定する。一般的なカテゴリには、定格および最悪の場合の荷重、個々のサポートの反応、許容されるエンクロージャの変形、保持時間、最大滑り、停止加速、故障検出時間、アラームとリセット、リリースの許可、およびメンテナンスの隔離が含まれます。値は、バッテリー パック、キャリア、および人員の暴露条件を反映する必要があります。普遍的な価値観を適用してはなりません。
| レコードカテゴリ | 典型的な文書 | 品質要件 |
|---|---|---|
| 要件 | 安全要件仕様、顧客インターフェース、製品の禁止/制限ゾーン | 固有の番号、バージョン、およびソース |
| 分析 | 荷重計算、有限要素、FMEA/FTA、PL評価 | 仮定は明確であり、最悪の場合の動作条件は追跡可能です |
| デザイン | 図面、BOM、空圧回路/電気図、ソフトウェアバージョン | 分析と物理的な機器を一致させます |
| 検証 | テスト計画、オリジナルの曲線、写真、ログ | 障害、タイムベース、および評価基準が完全に記録されています |
| リリース承認 | 逸脱、完了した是正措置、承認および保守要件 | 未解決の問題に対する定義された制限 |
コマンド、バルブ作動、圧力変化、ロック変位、およびキャリア停止信号を共通の時間基準で記録し、故障応答シーケンスおよび関係を分析できるようにする。この検証には HMI スクリーンショットだけでは不十分です。
07安全なリカバリ、メンテナンス、および変更
異常回復は設計中に定義されるものとする。一般的な手順には、キャリアの停止、荷重保持の確認、一時的なサポートの確立、エネルギーの隔離、障害の解消、ロックの係合の再確認、低速でのセットダウン、およびリセットの承認が含まれます。担当者はバッテリーパックの下に立ったり、継続的な手動サポートに頼ったりしてはなりません。機械的ロックを手動で解除する必要がある場合、その動作は工具、許可、および確認されたサポート条件によって制御されます。
保守検査は、ロックの摩耗、サポートアームの変形、留め具、ホースの摩耗、バルブの汚染、センサーターゲット、ケーブルの曲がり、接触パッドの材質、および校正状態をカバーする。バッテリーパックの質量、重心、エンクロージャ構造、許可されたサポートポイント、治具モジュール、ソフトウェアレシピ、またはキャリアの加速を変更するには、影響評価と必要な再検証が必要です。
08結論と申請要件
フェールセーフ設計は、構造的な荷重経路と機械的保持から始まります。空気圧、電気および制御システムは、状態の確認、故障診断、および制御されたリリースを提供します。障害が発生した場合、システムは生産タクトタイムを維持するのではなく、危険な放出を防止し、安全な回復が可能な状態に入らなければなりません。フォールト挿入のケースは、安全要件、FMEA/FTA、制御ロジック、および実際の構造に対応しており、レビュー可能な許容基準と是正措置の結果が必要です。
資格のある専門家は、適用される規制、規格、顧客の要件、および実際のリスクに従ってプロジェクトアプリケーションを設計および承認しなければなりません。 GB 38031、ISO 13849 パフォーマンス レベルへの製品の適合、第三者検査、および顧客の承認には、それぞれ関連する評価とテストの記録が必要です。このレポートは、調査方法と検証計画を提供します。
参考文献
- GB 38031-2025 電気自動車用電源バッテリーの安全要件。 https://openstd.samr.gov.cn/bzgk/std/newGbInfo?hcno=3AB693FAFF5D9716DF61C61D6FD2187A
- ISO 13849-1:2023. 機械の安全性 - 制御システムの安全関連部品 - パート 1: 設計の一般原則。 https://www.iso.org/standard/73481.html
- ISO 13849-2:2012. 機械の安全性 - 制御システムの安全関連部分 - パート 2: 検証。 https://www.iso.org/standard/53640.html
- ISO 12100:2010. 機械の安全性 - 設計の一般原則 - リスク評価とリスク軽減。 https://www.iso.org/standard/51528.html
- ISO/TR 20218-1:2018。ロボティクス - 産業用ロボット システムの安全設計 - パート 1: エンドエフェクター。 https://www.iso.org/standard/69488.html
- ISO 4414:2010. 空気圧流体動力 - システムとそのコンポーネントの一般規則と安全要件。 https://www.iso.org/standard/44790.html
- ISO/TR 14121-2:2012。機械の安全性 - リスク評価 - パート 2: 実践的なガイダンスと方法の例。 https://www.iso.org/standard/57180.html
- 米国運輸省 / NHTSA。自動車用充電式エネルギー貯蔵システムの安全管理。 https://rosap.ntl.bts.gov/view/dot/38221/dot_38221_DS1.pdf
- ヘルド、M. Bronnimann、R. 安全な電池、安全なバッテリー? FMEA、FTA、実践実験を用いたバッテリー火災調査。マイクロエレクトロニクスの信頼性 64、2016。 https://doi.org/10.1016/j.microrel.2016.07.051
