はじめに
ISO 10218-1:2025 の 5.5「Other safety functions(その他の安全機能)」は、ロボットメーカーがロボット本体に組み込んでおくべき安全機能を7つ定めた箇条です。本記事では、各機能の要求事項と、実装・評価の現場で引っかかりやすい注意点を整理します。
読者の方から「5.5について、実装するうえでの要求事項や注意点をまとめてほしい」とリクエストをいただきました。2011年版では安全機能の要求が箇条のあちこちに散らばっていましたが、2025年版では「5.3 安全機能の共通ルール」「5.4 停止機能」「5.5 その他の安全機能」と整理され、さらに附属書C(規定)で機能ごとの必要性能が一覧化されています。5.5は単独で読むと誤解しやすいため、本記事では 5.3 と附属書C をセットで読む前提で解説します。
なお、規格本文の訳ではなく筆者による要約・解説です。設計や適合判断には必ず規格原文をご確認ください。
ジュンイチロウ5.5って「その他」でしょ？ おまけの機能ってこと？
中の人名前で油断すると危ないですw 起動インターロックやイネーブルみたいに、全部のロボットに必須の機能が入ってますwww
前提：5.5の前に押さえる「5.3 安全機能」の共通ルール
5.5の各箇条には「5.3に従うこと」という一文が何度も出てきます。つまり5.3が各機能の「性能と作り方の共通ルール」です。ポイントは次の5つです。
ジュンイチロウ5.5を読む前に5.3から？ 遠回りじゃね？
中の人5.5は「何をするか」、5.3は「どれくらい確実にやるか」。両方そろって初めて設計できます。
(1) ロボットクラス（Class I / Class II）で必要性能が変わる
2025年版ではロボットを Class I と Class II に分けます（5.1.17）。制限機能を効かせない「素の能力」で、次の3条件をすべて満たすものだけが Class I です。
- マニピュレータの可動部質量：10 kg 以下
- 最大速度：250 mm/s 以下
- 最大力（附属書Eの試験法で測定）：50 N 以下
一般的な産業用ロボットや協働ロボットのほとんどは Class II です。Class II の安全機能は、原則として次のいずれかを満たす必要があります（5.3.3）。
- ISO 13849-1:2023 の PL d・カテゴリ3
- IEC 62061:2021 の SIL 2・HFT=1（ミッションタイム20年以上）
- PL d または SIL 2 で、PFH が 4.43×10⁻⁷/h 未満
3つ目の選択肢により、アーキテクチャをカテゴリ3に限定しない道も開かれています。一方 Class I は附属書Cにより「少なくとも PL b または SIL 1」が基本です。
(2) 「PL d 未満でよい機能」が表C.2で明示された
2011年版は「原則 PL d・カテゴリ3、例外はリスクアセスメント次第」という書き方でした。2025年版は、PL d より低い性能でよい機能を表C.2で個別に指定しています。5.5関係では「シングルポイント・オブ・コントロール：PL a」と「リセット：PL b」が該当します。
(3) 安全関連パラメータの管理（5.3.5）
速度制限値などをソフトで設定する安全機能では、設定値そのものが安全の要です。そのため次の仕組みが求められます。
- 一度有効にした安全機能は、電源投入時に常に有効であること
- 設定変更を検知できる識別子（チェックサム等）を生成し、画面で確認・記録できること
- 手動で設定を変えたらロボットの再起動が必要であること
- 自動運転中に設定を変更できないこと（「オンラインツール」は使用禁止）
ただし、事前に複数の値を設定しておき、プログラムの工程ごとに切り替えることは認められています。
(4) 故障を検出したら「適切な反応」（5.3.4）
故障を検出したときの反応は、サイクル終了まで待つか、停止カテゴリ0または1（IEC 60204-1）の停止です。安全機能が「作動した」こと自体は故障ではない、と注記で区別している点も押さえておきましょう。
(5) 外部入出力は冗長化（5.3.3）
PL d / SIL 2 の安全機能につながる入出力は冗長（2系統）とし、外部の冗長構成の制御システムに接続できることが求められます。インテグレータがアプリケーション全体で PL e を目指す場合もあるためです。
5.5の全体像
5.5の7機能のうち、全ロボットに必須なのは「起動/再起動インターロック」「リセット」「低速」「イネーブル」の4つです。残りは機能構成に応じた条件付きか、任意です。表は本文と表C.1/C.2を筆者が整理したもので、性能欄の「5.3」は Class II では原則 PL d / SIL 2 を意味します。
| 箇条 | 安全機能 | 要否 | 最低性能 | 一言でいうと |
|---|---|---|---|---|
| 5.5.1 | シングルポイント・オブ・コントロール | 条件付き（複数の操作源がある場合） | PL a | 指令を受け付ける操作源は常に1つだけ |
| 5.5.2.1 | 起動/再起動インターロック | 必須 | PL d（本文に明記） | 電源復帰やモード切替後に勝手に動かない |
| 5.5.2.2 | リセット | 必須 | PL b | 意図的な操作でインターロックを解除 |
| 5.5.3.1 | 低速（Reduced-speed） | 必須 | 5.3 | 手動低速モードで 250 mm/s 以下に監視 |
| 5.5.3.2 | 速度監視（Monitored-speed） | 条件付き（付加軸・手動高速・HGC・PFL） | 5.3 | 設定した速度を超えさせない |
| 5.5.4 | イネーブル機能 | 必須 | 5.3 | 3ポジションスイッチを握っている間だけ動く |
| 5.5.5 | 監視付き静止（Monitored-standstill） | 条件付き（HGC・PFL・同時動作） | 5.3 | 止まった位置から動いたら即停止 |
| 5.5.6 | 停止時間制限 | 任意 | 5.3 | 停止時間が上限を超える動きをさせない |
| 5.5.7 | 停止距離制限 | 任意 | 5.3 | 停止距離が上限を超える動きをさせない |
「任意」の機能も、搭載するなら 5.3 の性能を満たす必要があります。「追加機能だから簡易的でよい」とはならない点に注意してください。
ジュンイチロウ「任意」って書いてあるなら、ざっくり作ってもええんすか？
中の人カタログに載せる載せないのは自由。でも載せた以上は、きちんとした安全機能として作らないとダメ。カタログに書いた瞬間に評価対象になるかもしれません！
各機能の要求事項と実装上の注意点
5.5.1 シングルポイント・オブ・コントロール（PL a）
要求事項
- 同時に受け付ける操作源（ティーチペンダント、外部PLC、リモート等）は1つだけ。
- これを保証する仕組みは「安全機能」として実装し、最低 PL a。
- キースイッチやパスワードなどの「アクセスシステム（セキュリティ）」は安全機能の対象外。対象はその後めの「選択システム」と「有効化システム」（図3）。
実装上の注意点
- 「誰が操作できるか（アクセス管理）」と「どの操作源が有効か（安全機能）」を分けて設計します。パスワード管理にPLを付ける必要はありません。
- ペンダントで操作中に、外部PLCからの起動指令や通信経由の動作指令が本当に無視されるかを試験で確認します。
- 外部制御への切替には「現場での操作」が必要です（5.2.8.3 外部制御有効化、PL a）。無線ペンダントや複数ペンダントの構成では特に注意が必要です。
- 外部から操作源の切替要求が来たとき、「現在有効な操作源にだけ応答する」ことが表C.2の意図した結果です。
5.5.2.1 起動/再起動インターロック（必須・PL d）
ジュンイチロウ停電から復帰したら、そのまま続きから動いてくれたほうが便利じゃね？
要求事項
次の場合にロボットが自動で動き出さないことが求められます。
- 電源投入時、または停電・瞬停からの復帰時
- 自動モード→手動モードへの切替後
- 手動低速（旧T1）⇄手動高速（旧T2）の切替後（どちら向きも）
- 5.2.7 のその他のモード切替で、自動起動が危険につながる場合
性能は最低 PL d、自動再起動は ISO 13849-1:2023 5.2.2.4 に従います。
実装上の注意点
- 「リセット」と「起動」は別物です。リセットしただけでロボットが動いてはいけません（附属書I、ISO 13849-1 5.2.2.3）。ただし附属書Iは、起動のための意図的な手動操作でインターロックを解除することも認めています。
- 附属書C 表C.1では、本文にないトリガーとして「手動モード中の保護停止後」も挙げられています。試験項目に含めておくのが安全側です。
- 瞬停（短時間の電圧低下）でもインターロックが確実に効くかは、設計で見落とされやすいポイントです。
- モード切替の全パターン（自動→低速、自動→高速、低速⇄高速等）を表にして、テスト漏れを防ぎましょう。
5.5.2.2 リセット（必須・PL b）
要求事項
- 起動/再起動インターロックを解除するリセット機能を設ける。方法は「制御盤の押しボタンやペンダント画面上のボタンなど専用の操作器」か「外部からの入力」。
- ロボット内部の安全機能（軸制限やPFLの作動など）のリセットも、必要なら設ける。
- 性能は最低 PL b。手動リセットは ISO 13849-1:2023 5.2.2.3 に従う。
- 誤リセット防止：操作器を「離したとき」に受け付けるか、タッチパネルの2箇所同時操作など他の適切な方法を採る。
実装上の注意点
- 「離したときに受け付ける」とは、押したときではなく離した瞬間（立ち下がり）でリセットすることです。ボタンの固着や押しっぱなしで誤リセットされるのを防ぎます。
- ペンダント画面の仮想ボタンも認められています。ただし誤タッチ対策は必須です。
- 図I.1は「リセットしても危険がないことを目視で確認する」ことを前提にしています。外部リセットボタンの設置位置（危険区域を見渡せるか）はインテグレータ側での検討事項です（ISO 10218-2）。
5.5.3.1 低速（Reduced-speed・必須）
ジュンイチロウ250 mm/s って、ロボットの先っぽの速さでしょ？
中の人先っぽだけではないです。姿勢によっては肘のほうが速く動くこともある。人がぶつかるのは先端とは限らないんです。
要求事項
- 速度を 250 mm/s 以下に制限する安全機能を持つ。
- 対象は TCP（ツール先端点）だけでなく、マニピュレータの露出したすべての部位。付加軸の動きによる影響も含む。
- 250 mm/s より低い値を上限として設定できること。
- 手動低速モードでは常に有効であること。
実装上の注意点
- TCPだけ監視していても、姿勢によっては肘やリスト部が 250 mm/s を超えることがあります。規格の注記どおり、関節速度も合わせて監視するのが現実的です。
- 走行軸などの付加軸があると、ロボット自身の速度に付加軸の速度が上乗せされます。合成速度で判定できているかを確認します。
- TCPの設定値（5.1.14）が実際のツールとずれていると、監視そのものが意味を失います。取扱説明書での注意喚起も必要です。
- 表C.1は、超えそうなときに「減速または停止で超過を防ぐ」、超えたら「停止カテゴリ0または1」と、二段構えの動作を求めています。
5.5.3.2 速度監視（Monitored-speed）
要求事項
- 任意搭載ですが、付加軸、手動高速モード、ハンドガイド（HGC）、動力・力制限（PFL）を持つロボットでは必須。
- 有効中は TCP と露出部位が設定速度を超えないこと（付加軸の影響を含む）。
- 設定値は 250 mm/s を超えてもよい。
- 機能を無効化できるようにしてもよいが、無効化の仕組みも 5.3 の性能が必要。
実装上の注意点
- 「無効化」が安全機能の抗穴にならないよう、無効化操作の経路も PL d 相当で設計する必要があります。
- 複数の速度制限値を切り替える場合、切替にかかる時間を取扱説明書に記載する必要があります（7.5.12.3）。インテグレータはこの時間を安全距離の計算に使います。
- 手動高速モードでは、モード選択時やイネーブルを離して5分経過した場合に低速設定に戻る仕組み（5.2.7.2.3、PL a）と組み合わせて使います。
5.5.4 イネーブル機能（必須）
要求事項（基本動作）
- 手動モードでは常に有効。
- 「有効（握っている）」だけでは動かず、別の起動操作で初めて動作を開始できる。
- 「無効（離した）」ときは保護停止をかけ、動作開始を妨げる。
要求事項（デバイス）
- IEC 60204-1 10.9 の3ポジション形で、スイッチ自体は IEC 60947-5-8:2020 に適合。非機械式スイッチなら同等の要求を満たす。
- HGCを手動モードで使う場合は、ホールドツーランが有効であれば3ポジションイネーブルは不要。
- Class I は、保全等の作業がイネーブルなしで安全にできるなら付属不要。ただし外付けイネーブル（グリップ形等）を接続できる安全入力を備える。安全にできないなら付属させる。
要求事項（機能・5.5.4.3）
- 同じペンダント上の3ポジションスイッチをすべて離すと保護停止。
- ペンダントに組み込まれていない外付けイネーブルは、どれか1つを離すと保護停止。
- どれか1つでも強く握り込む（全程押し込み）と保護停止。
- 強く握り込んだ状態から中央位置に戻しても動かず、一度完全に離してから中央位置にした場合のみ動作可。
- 中央位置で握ったまま自動→手動に切り替えた場合、一度離して握り直さないと動かない。
実装上の注意点
- 左右両手用に2個のスイッチを持つペンダントでは、「片方を離しただけでは止まらない」のが規格どおりの動作です。一方、外付けイネーブルは1つ離しただけで止める必要があり、ロジックが異なります。ここが混同されやすい点です。
- 4の「握り込み→中央」で動かないことは、パニックで強く握った後に力を緩めて再び動き出す事故を防ぐためのものです。スイッチ部品だけでなく、制御側でこの順序を判定できているかを試験で確認します。
- 部品の IEC 60947-5-8 適合は、スイッチメーカーの適合宣言や認証書で裏付けを取っておくと評価がスムーズです。
- 無線ペンダントの場合、通信途絶の検出時間も取扱説明書に記載が必要です（7.5.12.3）。
- 規格の注記にもあるように、中央位置を長時間保持する疲労は無効化の動機になります。操作力と握りやすさの配慮も設計要素です。
5.5.5 監視付き静止（Monitored-standstill）
要求事項
- 静止位置を 5.3 の性能で監視・保持する。
- 静止位置から意図しない動きがあれば、停止カテゴリ0または1。
- HGC と PFL を持つロボットでは必須（表C.1では同時動作で非選択のロボットにも適用）。
- 保護装置など外部から起動してもよい。
- 監視付き静止中であることを示す安全出力を備える。
実装上の注意点
- サーボは励磁したまま位置を監視する機能なので、「どこまで動いたら異常か」という許容量を決め、取扱説明書に示します。
- 安全出力は、インテグレータが「止まっているので人が近づいてよい」と判断する根拠に使います。出力の仕様と応答時間を明記しておきましょう。
- 2011年版の協働運転にあった「安全適合監視停止」に近い考え方ですが、2025年版では協働用途に限らない汎用の安全機能として位置付けられています。
5.5.6 停止時間制限 / 5.5.7 停止距離制限（任意）
ジュンイチロウ止まるまでの時間なんて、ロボット任せでいいんじゃない？
中の人安全柵やセンサの位置は「止まるまでにどれだけ進むか」で決まります。上限が保証されていれば、設備をコンパクトにできますw
要求事項
- どちらも任意だが、搭載するなら 5.3 の性能が必要。
- ロボットの動きを常時監視し、停止時間（または停止距離）の上限を超えるような動きをさせない。
- 停止距離制限は TCP だけでなく、ロボットのすべての可動部が対象。
- 上限を超えたら停止カテゴリ0または1。
実装上の注意点
- これらは、インテグレータが ISO 13855 や ISO 10218-2 で安全距離を計算するときに「停止時間の上限」を保証するための機能です。この機能がないと、最悪条件の停止時間で安全距離を取ることになります。
- 「超えそうなら事前に減速する」には、可搬質量や姿勢を含めた停止性能の予測が必要です。ペイロード設定（5.1.15）の誤りがそのまま予測誤差になる点に注意します。
- 妥当性確認は、附属書H（停止時間・距離の測定）による実測を前提に考えるのが安全側です。
規格を読んでいて気になった点
本文と附属書を突き合わせると、次の4点で記述がずれています。実際の設計では、安全側に倒して解釈するか、認証機関と早めに解釈をすり合わせておくことをお勧めします。
| 箇所 | 内容 | 考え方 |
|---|---|---|
| 5.5.2.1 と附属書C冒頭 | 本文は起動/再起動インターロックを「最低 PL d」と明記。一方附属書Cは「Class I は少なくとも PL b / SIL 1」 | Class I でも PL b でよいと読めるかは不明確。本文の PL d を安全側として採るのが無難 |
| 表C.1（5.5.2.1の行） | 本文にない「手動モード中の保護停止後」がトリガーに含まれる | 附属書Cは規定（normative）なので、試験項目に含める |
| 表C.1（5.10.2 HGCの行） | 速度監視の参照先が「5.5.4.2」（イネーブル装置）になっている | 文脈から 5.5.3.2 の誤記と考えられる |
| 附属書G（5.5.2.1の行） | 自動再起動の参照先が ISO 13849-1:2023「5.2.4」。本文は「5.2.2.4」 | 本文の 5.2.2.4 を正として扱う |
いずれも筆者の読みであり、公式な解釈や正誤表ではありません。今後の追補や正誤表で修正される可能性もあります。
中の人迷ったら安全側に倒して、早めに認証機関と話しておくのがコツかもwww
検証と取扱説明書：実装しただけでは終わらない
検証の方法（附属書G）
附属書G（参考）は、要求事項ごとに検証方法を A〜G の記号で示しています。A 目視検査、B 実動作試験、C 測定、D 運転中の観察、E 回路図・設計資料のレビュー、F リスクアセスメント / FMEA のレビュー、G 仕様書・使用上の情報のレビューです。
5.5の項目では、低速・速度監視に「測定」が、イネーブルやインターロックに「実動作試験」が指定されています。PLの達成は「設計資料のレビュー」で確認されるため、SISTEMAの計算結果や安全機能の仕様書を整えておくことが必要です。
取扱説明書に書くべきこと（7.5.12）
ロボットの安全機能は、インテグレータがシステムに組み込んで初めて役に立ちます。そのため 7.5.12 では次の情報提供を求めています。
- 各安全機能の機能・トリガー・意図した結果・性能（PL、カテゴリ、SIL、PFH、DC、停止カテゴリ等）。書式例は附属書D 表D.1
- 安全パラメータの保護方法、識別子（チェックサム）に含まれる機能、設定の確認・記録方法
- 安全入力・安全出力の最大応答時間、速度制限値の切替時間、無線ペンダントの通信途絶検出時間
- 外部入出力の仕様、故障検出の有無、外部での故障検出が必要な場合の指示
- 手動モードの使い方と残留リスク（低速モードでも可能な限り安全防護空間の外で作業する、など）
「応答時間」と「停止時間」は別物です。応答時間は入力が変わってから安全機能が働き始めるまで、停止時間はそこから実際に止まるまでの時間です。両方を別々の数値として示す必要があります。
トピックス
本記事のきっかけは、ロボットメーカーの設計者の方からいただいたご相談です。同じ悩みを持つ方は多いと思いますので、要点を紹介します。背景には「安全エンコーダとモーション監視ユニットを追加すると、筐体が大きくなり原価も大幅に上がる」という事情がありました。
ジュンイチロウ安全エンコーダを付けたら箱が大きくなってお値段高くなる…。なんとかならならへん？
中の人お気持ちはよくわかりますが。でも「付けない理由」を探すより、「どう付けるか」を早い段階で考えたほうが、結局は近道と思います。
Q1．250 mm/s 以下に制限する機能を PL d で搭載すれば、速度監視は不要ですか？
答えは「その制限機能自体が速度監視である必要がある」です。
- 5.5.3.1 の Reduced-speed は、速度指令を低く抑えるだけの通常制御ではありません。表C.1では、超えそうなら減速・停止、超えたら停止カテゴリ0または1、という「速度を監視して止める安全機能」として定められています。
- 一方、5.5.3.2 の Monitored-speed（任意の設定値での速度監視）は、付加軸、手動高速モード、HGC、PFL を持たなければ必須ではありません。
- つまり「5.5.3.2 は省略できる場合があるが、5.5.3.1 のための速度監視は必要」という整理になります。
実現手段は安全エンコーダ＋モーション監視ユニットに限らず、安全機能内蔵のサーボドライブ（安全制限速度）を使う方法なども考えられます。ただしいずれの手段でも、TCP だけでなく露出部位や付加軸を含めて 250 mm/s 以下を保証できるかが評価のポイントになります。
Q2．オートティーチングで手動操作が一切不要な仕様でも、Reduced-speed は必須ですか？
ISO 10218-1:2025 への適合という意味では、必須です。
- 5.2.7.2.2 は「ロボットは手動低速モードを持たなければならない」と定め、表C.1でも Reduced-speed は Mandatory です。用途による除外規定はありません。
- 現実には、故障復旧や保全でロボットを少し動かしたい場面はほぼ必ず発生します。「手動操作は不要」という前提自体を、リスクアセスメントで慢重に確認する必要があります。
一方で、欧州の法規制への対応と規格適合は別の話です。たとえば「装置内に組み込み、ドアを閉めた状態でティーチングする」設計方針であれば、半完成機械としてリスクアセスメントに基づき必須安全衛生要求事項（EHSR）への適合を示す道も考えられます。ただし整合規格による適合推定は使えず、「ISO 10218-1 適合」を名乗ることもできません。国内外のユーザーが規格適合を購入条件にしている場合、営業上のハードルになる点は考慮が必要です。
Q3．機械規則では 2011年版は使えなくなりますか？
機械規則（EU 2023/1230、2027年1月20日適用開始）の整合規格リストは、本記事執筆時点では未公表です。ただし新しい整合規格は最新版を基準に整備されるのが通例なので、これから開発するロボットは 2025年版を基準に計画するのが安全です。2011年版に合わせて設計し、後から 2025年版への対応が必要になると、今回のように筐体や原価に大きく影響する可能性があります。
まとめ：読者が気をつけること
5.5は「ロボットが勝手に動かない」「人が近くにいるときは遅く、意図したときだけ動く」を保証するための機能群です。実装で気をつけたいのは次の5点です。
- 5.5は単独で読まない。 必要なPLは機能ごとに違うため、必ず 5.3 と附属書C（表C.1 / C.2）を一緒に確認します。
- 「制限」ではなく「監視して止める」。 低速も速度監視も安全機能です。通常制御で速度を抑えるだけでは足りず、TCPだけでなく露出部位や付加軸も含めて監視します。
- 用途を理由にした除外はない。 起動/再起動インターロック、リセット、低速、イネーブルは、手動操作を想定しない仕様でも必須です。
- 細かい動作の違いを見落とさない。 リセットと起動は分ける。ペンダント内蔵のイネーブルは「すべて離したら停止」、外付けは「1つ離したら停止」とロジックが異なります。
- 実装して終わりではない。 安全パラメータの管理（識別子・再起動）と、応答時間などインテグレータが必要とする情報の取扱説明書への記載までが対応範囲です。
なお、ロボット単体で PL d を満たしていても、アプリケーション全体では PL e が必要になる場合があります。その判断は ISO 10218-2:2025 側の仕事です。
ジュンイチロウ結局、一番大事なのは？
中の人「勝手に動かない」「意図したときだけ動く」。この2つを、どんなときでも機械が保証できるか。それに尽きます！
本記事は ISO 10218-1:2025 の内容を筆者が要約・解説したものです。規格本文の転載ではなく、適合性を保証するものでもありません。実際の設計・評価では規格原文をご確認ください。