フールプルーフ・フェールセーフ・フォールトトレランスの違い

フールプルーフは人の誤操作を起こしにくくする考え方、フェールセーフは故障時に安全側の状態を保つ考え方、フォールトトレランスは故障の影響を抑えて必要な機能を続ける考え方です。停止か継続かだけでは、すべての設計を分類できません。

いずれもシステムの信頼性や安全性を高める設計の考え方で、機器やシステムが現実の物を動かす IoT では、ソフトウェアだけの世界より重みが増します。温度を制御する、扉を開け閉めする、機械を動かすといった場面では、誤りや故障がそのまま事故につながりうるためです。

下の図と表は、停止で安全を確保する典型例と、予備でサービスを続ける典型例の対比です。実際には安全機能を継続して危険を避ける場合もあるため、何を安全側とし、どの機能を守っているかを確認します。

フェールセーフとフォールトトレランスは、どちらも故障に備えますが、止まって安全を守るか、続けて機能を守るかが正反対です。どちらを選ぶかは、止まったときと動き続けたときのどちらが危険かで決まります。

フォールトトレランスの代表的な手段は冗長化（二重化など）です。フェールソフトは、完全には守りきれない場合に機能を絞って続ける方法で、フォールトトレランスの考え方の中に位置づけられます。

厚生労働省のフェールセーフの解説は、緊急停止だけでなく、代替機能によって安全装置の機能を続ける等の措置も挙げています。止まったという結果だけで安全とせず、想定した故障のときに、人を危険へさらさない状態へ移れるかが論点です。

例えば、危険な機械の動作を止めつつ、停止を監視する安全機能を維持するなら、止める対象と続ける対象が違います。サーバの予備系へ切り替えて情報処理を続ける話とは、守る目的を分けて整理します。下の独自例・問題も、示した目的と条件に限定して読んでください。

具体の制御方式はリスクと適用規格に基づいて設計する必要があります。この図は学習用の比較で、ガス弁や搬送機器を一律に設定する手順ではありません。IoTシステムの構成の各部分と、どの故障を想定したかを対応させます。

次の例は、考え方を区別するために当サイトが作ったものです。「何が起きたのか」「その後どうなったか」を読み取って、どの考え方かを判断してみてください。

同じ「通信が切れた」でも、ガス弁は閉じ（フェールセーフ）、データ収集は切り替えて続けます（フォールトトレランス）。止めた方が安全なものか、止まると困るものかで設計が分かれる点に注目してください。

システム全体をどこに置くかの設計はIoTシステムの構成とは、災害時まで含めた継続の計画はBCPとはで扱っています。

MCPC の公式ページでは、IoTシステム技術検定 中級（80問・90分・4者択一・CBT）の出題カテゴリの一つに「IoTシステム構成と構築技術」があり、比率は15〜25%と図で示されています（2026年9月27日確認）。当サイトでは、この用語を設計・運用の範囲として扱っていますが、公式テキストのどの章に当たるかは確認できていません。

出題頻度は公表されていないため、次は考えられる観点の例です。

• ✓定義の選択：説明文を読んで、どの考え方に当たるかを選ぶ。
• ✓事例の分類：具体的な設計を読んで、どの考え方かを判断する。
• ✓正反対の組：フェールセーフとフォールトトレランスの、止まる／続けるの違い。
• ✓似た用語の混入：フェールソフトやフォールトアボイダンス（故障そのものを起こりにくくする考え方）を紛れ込ませる。

試験の形式・日程はIoTシステム技術検定 中級とはにまとめています。

選択肢が左の列のように書かれていたら、右の問いで確かめてください。