非常停止はなぜPLCを通してはいけないのか｜ハードワイヤ設計で装置を止める理由
「非常停止をPLCに通す」とはどういう配線か
ラダーを書き始めたばかりの頃、こう考えたことはないでしょうか。「非常停止ボタンもただの入力接点なんだから、X0に取り込んでプログラムで全出力をOFFすればいいのでは？」と。配線もシンプルになるし、PLCならどんな条件でも柔軟に組めます。一見、合理的に思えます。
この考え方を配線にすると、次のような流れになります。
- 非常停止ボタンの接点 → PLCの入力ユニット（例：X0）
- プログラム内で「X0がOFFなら全出力をOFFする」条件を判定
- PLCの出力ユニット（例：Y0）→ リレーや電磁接触器のコイル → アクチュエータ停止
つまり、ボタンを押してから装置が止まるまでの間に「PLCのプログラムが正しく1回実行されること」が挟まっている構成です。通常の起動・停止ならこれで何の問題もありません。実際、運転準備OFFや通常停止はこの形で組みます。
しかし非常停止だけは、この構成にしてはいけません。設計レビューで先輩に一発で赤を入れられるポイントですが、「なぜダメなのか」を理屈から教えてもらえる機会は意外と少ない。この記事ではその理由を、PLCの動作原理まで掘り下げて整理します。
なぜPLC経由ではいけないのか
結論から言うと、PLCを経由した停止は「PLCが正常に動いていること」が前提になっているからです。非常停止は、装置が異常な状態——つまり何が正常に動いているか分からない状態——でこそ確実に働かなければならない機能です。前提と使いどころが根本的に矛盾しています。具体的に3つの観点で見ていきます。
①PLCはスキャンで動く＝1周回らないと出力が変わらない
PLCは「入力読み込み → プログラム演算 → 出力書き込み」を高速で繰り返すスキャン方式で動いています。裏を返せば、スキャンが1周回りきらない限り、出力は変化しないということです。
CPUがハング（＝CPUがフリーズして無反応になること）した、プログラムが無限ループに入った、何らかの異常でスキャンが停止した——このときPLCの出力は「止まった瞬間の状態」で固まります。全出力ONのままフリーズすれば、装置は動き続けます。その状態で非常停止ボタンを押しても、X0の変化を読み取って演算するはずのCPUが止まっているのですから、停止指令はどこにも届きません。最も止めたい瞬間に、止める手段が死んでいる。これがPLC経由の非常停止の最大の問題です。
②プログラムは人間が書き換えられる
もうひとつの問題は、ソフトウェアである以上、バグや書き換えミスで安全機能が消えうることです。改造工事で他の回路を修正した際、うっかり非常停止の条件接点を消してしまったら？ デバッグ中に強制ON/OFFをかけたまま戻し忘れたら？ プログラム上の非常停止は、モニタ画面で1接点を眺めても「本当に全出力を殺せる構成になっているか」を確認しきれません。
人間の変更作業に依存する回路は、安全機能の土台にできない。これは個人の注意力の問題ではなく、仕組みの問題です。どれだけ優秀な設計者でも、10年間・何十回の改造を経て一度もミスしない保証はありません。
③故障が「安全側に倒れる」保証がない
安全設計の基本に「フェイルセーフ」——故障したら必ず安全側（＝停止側）に倒れる——という考え方があります。PLCの出力ユニットは汎用品であり、故障モードが停止側に倒れる保証はありません。出力トランジスタが短絡故障すれば、プログラムがOFFを指令しても出力はONのままです。汎用PLCは生産のための機器であって、故障時の挙動まで安全側に設計された機器ではない、ということです。
この「故障したときにどちらに倒れるか」という視点は、リレー回路でb接点を選ぶ理由とまったく同じ思想です。インターロック回路とは？b接点を使った安全制御の基本パターンで解説した「回路自体が物理的に遮断する」考え方の延長線上に、非常停止のハードワイヤ設計があります。
正解はハードワイヤ：物理配線で電源を切る
では正しい構成はどうなるか。答えは非常停止ボタンのb接点で、セーフティリレー（またはセーフティコントローラ）を介して、アクチュエータの動力電源を直接遮断することです。PLCのプログラムを一切経由せず、物理配線（ハードワイヤ）だけで停止が成立する構成にします。
信号の流れはこうなります。
- 非常停止ボタン（b接点）→ セーフティリレーの入力
- セーフティリレーの安全出力接点 → 電磁接触器のコイル回路
- 電磁接触器の主接点 → モーター等の動力電源
ボタンが押されるとb接点が開き、セーフティリレーの出力が落ち、電磁接触器が消勢（コイルが脱励磁）して主回路が切れる。この経路のどこにもソフトウェアは存在しません。CPUがハングしていようが、プログラムにバグがあろうが、銅線と接点の物理法則だけで装置が止まります。
安全規格の世界では、このように動力を即時に遮断して停止させる方式を「カテゴリ0停止」と呼ぶ考え方があります（制御を効かせながら減速停止し、停止後に動力を切る「カテゴリ1停止」という分類もあります）。IEC 60204-1（機械の電気装置）やISO 13849（制御システムの安全関連部）といった規格でも、非常停止は直接的なハードワイヤ配線を基本とする方向で整理されています。細かい要求は機械のリスクアセスメント次第なので、実務では機械ごとの安全設計者・規格の原文で確認してください。ここで押さえてほしいのは条番号ではなく、「止める経路にソフトを挟まない」という設計思想そのものです。
遮断を担うセーフティリレーの内部構造や配線の基本は、セーフティリレーとは？仕組み・配線の基本と選び方で詳しく解説しています。また、非常停止回路が複数系統になってきた場合の集約判断についてはセーフティリレーとセーフティコントローラの違いが参考になります。
PLCは非常停止に一切関われないのか
ここまで読むと「PLCは非常停止に触れてはいけない」と受け取るかもしれませんが、それは正確ではありません。正しくは「止める責任」はハードが持ち、「知る・伝える役割」はPLCが持つという役割分担です。
実際の設計では、非常停止ボタンの接点を1極余分に用意する（あるいはセーフティリレーの補助接点を使う）ことで、E-stop状態をPLC入力にも並列で取り込みます。この入力を使って次のような処理を組むのは、まったく問題ありません。むしろ組むべきです。
- 表示：タッチパネルに「非常停止作動中」を表示し、復旧手順を案内する
- 記録：いつ・どの非常停止が押されたかを異常履歴に残す（原因究明に効く）
- 後処理：非常停止後の再起動シーケンスや、停止中の状態管理
ポイントは、PLC側の入力がどうなっていようと、装置はすでにハード側で止まっていることです。PLCの表示が出なくても、記録が残らなくても、人の安全には影響しません。この「ソフトで判断してよいもの／ハードで担保すべきもの」の線引きは、PLCとリレーシーケンスの違い：現場での使い分け判断で扱った使い分けの考え方の、安全設計版と言えます。
設計で外してはいけない原則
ハードワイヤで組むと決めた後にも、押さえるべき原則がいくつかあります。どれも「故障したとき安全側に倒れるか？」という一つの問いに帰着します。
非常停止は必ずb接点で使う
非常停止ボタンは「押すと開く」b接点で使います。理由は断線時の挙動です。b接点なら、配線が断線したり端子が緩んだりすると回路が開き、装置は停止側に倒れます。もしa接点（押すと閉じる）で「閉じたら停止」と組んでしまうと、断線した瞬間に非常停止が効かない装置が完成します。しかも見た目は正常運転のままなので、誰も気づきません。
直接開路動作の非常停止ボタンを選ぶ
非常停止用のボタンには、接点溶着があってもボタンの機械的な力で強制的に接点を引き剥がす「直接開路動作」機構を持つ製品を使います。汎用の押しボタンをb接点で使えばよい、という話ではない点に注意してください。
二重化・自己監視はセーフティ機器に任せる
「接点が1個溶着したら終わりでは？」という疑問への答えが、セーフティリレーの二重化・自己監視機構です。内部で接点を冗長化し、1つの故障が起きても安全機能を維持し、次回起動時に故障を検出して再起動させない——この仕組みを汎用リレーの組み合わせで自作しようとすると、設計・検証の負担が跳ね上がります。ここは専用機器に任せるのが実務の答えです。
リセットは「復帰＝再起動」にしない
非常停止ボタンを引き戻した（ラッチ解除した）瞬間に装置が勝手に動き出す構成は危険です。ボタンの復帰後、別途リセットボタンを押して初めて起動可能になる構成にします。セーフティリレーの多くはこのリセット入力を前提とした端子構成になっています。
まとめ
非常停止をPLCに通してはいけない理由は、突き詰めれば「非常停止は、何も信用できない状況で最後に頼る機能だから」です。要点を整理します。
- PLC経由がダメな理由①：PLCはスキャンで動くため、CPUハング・スキャン停止時には停止指令が出せない
- PLC経由がダメな理由②：プログラムはバグ・書き換えミスで安全機能が消えうる。人の変更に依存する回路は安全の土台にできない
- PLC経由がダメな理由③：汎用PLCの故障は安全側に倒れる保証がない（フェイルセーフでない）
- 正解：非常停止ボタンのb接点 → セーフティリレー → 電磁接触器で、動力電源を物理配線で直接遮断する
- 役割分担：止める責任はハード、表示・記録・後処理はPLC。E-stop状態の並列取り込みはむしろ推奨
- 設計原則：b接点＋直接開路動作の専用ボタン、二重化・自己監視はセーフティ機器に任せる、復帰＝再起動にしない
「ソフトは便利、ハードは確実」。この2つを混ぜずに正しく分担させることが、安全回路設計の出発点です。