フォールトトレランス：クリティカルシステムの信頼性、可用性、安全性を向上

フォールトトレランスを欠いたシステムは本質的に信頼性が低くなります。RAMS（信頼性、可用性、保守性、安全性）に注力するエンジニアにとって、フォールトトレランスを考慮した設計は不可欠です。特に、故障がシステム全体を危険にさらすクリティカルな機器ではそれが顕著です。

本稿では、フォールトトレラントシステムの核心的特性を概説し、冗長設計がいかに信頼性を高めるかを示します。

フォールトトレランスとは？

フォールトトレランスとは、故障が発生してもシステムが動作を継続する能力です。ハードウェア冗長、ソフトウェア冗長、アクティブ監視による高フォールトトレラント設計は、シングルポイントオブフェイル（SPOF）を排除し、部分的または完全な運用を維持しなければなりません。

フォールトトレラント設計の本質

フォールトトレラント設計の開発には、機器ライフサイクル全体における潜在的故障モード、その根本原因、および結果の影響についての深い理解が必要です。エンジニアは、望ましい信頼性とコスト・リソース制約のバランスを取らなければなりません。フォールトトレラントシステムがあらゆる可能な故障から守らなければならないというのは誤解です。代わりに、故障のクリティカルさに見合ったトレランスを実現し、コスト効率の良い最適化を図るべきです。

フォールトトレラントシステムの特性

フォールトトレラントシステムの構築には、仕様、設計、検証・妥当性確認（V&V）、保守、運用、廃棄といったあらゆるライフサイクル段階での意図的なアクションが必要です。以下の手法が一般的に適用されます：

1. 故障検出と表示
2. 故障診断と封じ込め
3. 故障マスキングと補償

1) 故障検出と表示

検出はあらゆるフォールトトレラント設計の基盤要素です。正確な故障センシングと通知がなければ、後続の緩和レイヤーは機能しません。例えば、タイヤ空気圧監視システム（TPMS）は圧力センサーを用いて、タイヤが過剰に膨らんだ際にドライバーに警告します。この場合許容されるトレランスは、正確な検出と警告のみであり、是正措置はTPMSのスコープ外です。

TPMS作動の表現

2) 故障診断と封じ込め

クリティカルなアプリケーションでは、検出に続き、故障を特定し封じ込め措置をトリガーする診断アルゴリズムが働きます。プロセスプラントの分散制御システム（DCS）はセンサーを監視し、異常圧力を特定して安全弁を自動的に開き、余剰圧力をフレアスタックに放出して火災や爆発を防ぎます。

DCSシステムの表現

3) 故障マスキングと補償

故障マスキングは、サイバー攻撃が偽データを注入し得るIoT対応機器で特に価値があります。異常なストリームを検知し正しい値で置き換えることで、システムは誤った状態情報の伝播を防ぎます。送電網ではSCADAシステムが電圧と周波数を監視します。これらの制限を操作するサイバー攻撃は停電を引き起こし得ます。マスキングアルゴリズムはこうした改ざんを防ぎます。

SCADAシステムの表現

冗長設計によるフォールトトレランスの向上

冗長性（プライマリが故障した際に機能を引き継ぐ代替システムを配置すること）は、フォールトトレランスを高める最も直接的な方法です。しかし、無差別な冗長化はコストと複雑性を膨らませるため、厳格な費用便益分析によって正当化される必要があります。

冗長性はフォールトトレランスを改善しますが、システムを闇雲に追加することが目的であってはなりません。新しいシステムの追加に必要なコストが、達成可能な信頼性メリットを大きく上回る可能性があるためです。

冗長性タイプは大きくアクティブとパッシブに分類されます。

アクティブ冗長

アクティブ冗長では複数のユニットを同時に稼働させます。シンプルな例は、2台のポンプを半分の容量で運転し、合わせて目標圧力を達成することです。より高度なスキーム（K/ N冗長とグレースフルデグレード）では、ユニットのサブセットをオンラインに保ちながら他をホットスペアとして待機させ、コンポーネント故障時にも継続運転を確保します。

K/ N冗長は、予め決められたサブセットのユニットを稼働させ、より大きなスペアプールが故障時に引き継げるようにします。グレースフルデグレードは、コンポーネント損失に比例してシステム性能を低下させ、高価な同一スペアセットを不要にします。

パッシブ冗長

パッシブ冗長では、プライマリ故障時にのみ作動するスタンバイ機器を配置します。2つのバリエーションがあります：

1. 動作するパッシブ冗長（ホットスペア）。無負荷条件でアイドル待機。例：プライマリ発電機故障時に自動同期するスタンバイ発電機。
2. 非動作パッシブ冗長（コールドスペア）。パワーアップや手動起動が必要。プライマリポンプ故障時に手動で起動する市営水道ポンプが典型例。

フォールトトレランス分析のための信頼性手法

フォールトトレランスの分析には、実証済みの信頼性エンジニアリングツールを用います：故障モード影響解析（FMEA）とフォルトツリー分析（FTA）。FMEAはボトムアップ視点で個々のコンポーネントを検証し、FTAはトップダウン視点で故障伝播をモデル化します。マルコフモデルとモンテカルロシミュレーションは、故障確率が時間とともにどう変化するか、不確実性が全体性能にどう影響するかをさらに定量化します。

フォールトトレランスとメンテナンス運用

フォールトトレラントシステムはメンテナンスを不要にするものではありませんが、介入間隔を延ばす安全バッファを提供します。コンピュータ支援メンテナンス管理システム（CMMS）は、蓄積した故障が大惨事を招く前に是正措置をスケジュールするために依然として不可欠です。実践では、フォールトトレランスはメンテナンスチームに余裕を与え、クリティカルな修理を優先しながら非緊急作業を延期できるようにします。

初期コストと設計複雑性は高まりますが、フォールトトレラント設計は機器信頼性とシステム稼働率において測定可能な向上をもたらします。