用語集 / BCP / 障害対応 / 縮退運転・縮退運用
フェールソフト（フェイルソフト）とは？ ｜技術用語集
よみ：ふぇーるそふと（ふぇいるそふと）
フェールソフト（フェイルソフト）とは、設備やシステムの一部に障害が発生しても、異常部分を切り離し、機能や性能を制限しながら重要なサービスを継続する設計思想です。設備側の縮退運転、業務・組織側の縮退運用、発動条件、優先負荷、資源管理、通常運転への復帰条件を解説します。
関連用語
フェールソフトの要点
- すべての機能を維持するのではなく、重要機能を選んで継続します。
- 異常部分を隔離し、安全を確保したうえで限定運転へ移行します。
- 設備側では縮退運転、業務・組織側では縮退運用として実装します。
- 通常運転へ戻す条件と順序まで、障害発生前に設計します。
フェールソフトは、単に「壊れても動かす」考え方ではありません。 危険な機能は停止し、継続できる機能だけを明確に選び、 残された電力、燃料、通信、人員などを重要機能へ再配分する設計です。
フェールソフト（フェイルソフト）の定義
フェールソフト（フェイルソフト）とは、 設備やシステムの一部に障害が発生した場合に、 異常な構成要素を切り離し、機能や性能を制限しながら、 重要なサービスを継続する設計思想です。
通常時と同じ性能、処理能力、サービス範囲を維持することは目的ではありません。 障害の影響を限定し、安全に管理できる状態へ移行したうえで、 事業や設備に不可欠な機能を残すことが目的です。
フェールソフトを実装する縮退運転・縮退運用
DEGRADED OPERATION
縮退運転
設備、システム、電源、通信、制御などの機能、出力、処理能力、 稼働台数、負荷を制限し、重要な機能を優先して運転することです。
DEGRADED SERVICE
縮退運用
対象業務、営業時間、サービス範囲、人員配置、受付方法などを限定し、 組織として重要業務を継続することです。
実際の事業継続では、設備側の縮退運転と、 業務・組織側の縮退運用を一体として設計します。 どちらか一方だけでは、長期継続に必要な資源配分が成立しません。
フェールソフト、フェールセーフ、冗長化の違い
| 考え方 | 障害時の基本動作 | 主な目的 |
|---|---|---|
| フェールソフト | 機能や性能を制限して継続する | 重要機能とサービスの維持 |
| フェールセーフ | 安全側へ停止または移行する | 人命、設備、環境の保護 |
| 冗長化・フォールトトレランス | 予備系へ切り替え、機能を維持する | 障害の影響を利用者へ見せない |
一つの施設やシステムでも、危険を伴う機能はフェールセーフ、 停止できない重要機能は冗長化、資源に限界がある長期運用はフェールソフトというように、 対象ごとに組み合わせて設計します。
災害・事故発生後の時間軸と縮退運転
システム障害では検知直後に縮退モードへ移行する場合があります。 一方、災害、長期停電、通信断などでは、初動、継続判断、長期継続を 時間軸で整理しておくことが重要です。 次の5時間、12時間という区分は法定時間ではなく、BCPを具体化するための目安です。
0–5 HOURS
異常検知・安全確保・初動
- 人命と利用者の安全確認
- 火災、漏えい、感電などの危険排除
- 異常部分の検知、停止、隔離
- 非常用電源と災害時シーケンスの起動
- ログ、計測値、現場情報の保全
5–12 HOURS
状況確認・継続判断
- 使用可能な電力、燃料、通信の確認
- 稼働可能な設備と人員の確認
- 復旧見込みと外部支援の確認
- 継続、縮退、停止、避難の判断
- 優先機能と停止対象の決定
AFTER 12 HOURS
縮退運転・長期継続
- 発電能力に応じた負荷制限
- 燃料残量と補給時期の管理
- 通信とサービス範囲の制限
- 職員の交代、休息、生活環境の確保
- 通常運転へ戻す条件の監視
フェールソフト・縮退運転へ移行する条件
縮退運転は、資源が枯渇してから開始する対応ではありません。 障害の拡大、通常運転の維持による資源の早期枯渇、 または復旧不能につながるおそれがあると判断した時点で移行します。
システム・設備条件
- 一部の装置、系統、機能に異常を検知した
- 冗長系の一部を喪失し、予備能力が低下した
- 処理能力や通信帯域が通常需要を下回る
- 安全確認が完了していない設備がある
インフラ・組織条件
- 商用電源や通信の復旧時刻が確定しない
- 発電能力、燃料、蓄電残量が有限である
- 道路遮断により燃料や物資の補給が不確実
- 職員、保守員、交代要員が不足する
フェールソフト設計に必要な六つの要素
異常検知
電圧、電流、通信、温度、処理遅延、設備状態などから、 通常状態を外れたことを検知します。
障害の隔離
異常な系統、装置、通信経路、業務を切り離し、 正常部分への波及を防ぎます。
継続機能の選択
人命、安全、制御、通信、見守りなど、 継続すべき機能を事前に順位付けします。
モード移行
自動または手動で縮退モードへ移行し、 負荷、出力、処理、サービス範囲を制限します。
状態の可視化
現在の運転モード、残存能力、停止機能、警報、 操作可能範囲を利用者と運用者へ明示します。
段階的復帰
復旧条件を確認し、突入電流、負荷集中、データ整合性を管理しながら、 定めた順序で通常運転へ戻します。
縮退運転では、継続・制限・停止を事前に決める
| 区分 | 運用 | 例 |
|---|---|---|
| A：継続 | 常時維持する | 安全設備、通信、見守り、制御、最低限の空調 |
| B：制限 | 時間、台数、出力、処理量を制限する | エレベーター、厨房、給湯、事務設備、非優先通信 |
| C：停止 | 安全停止し、復旧まで使用しない | 非緊急設備、高消費電力設備、代替可能なサービス |
分類は設備名称だけでは決まりません。 利用者、時間帯、季節、外気温、燃料残量、障害範囲、 復旧見込みに応じて優先順位を更新します。
縮退運転・縮退運用で管理する六つの資源
電力
発電能力、蓄電残量、瞬間最大電力、起動電流を確認し、 優先負荷へ配分します。
燃料
残量、時間当たり消費量、補給時期、 供給元と配送経路を管理します。
通信
重要回線、予備回線、通信機器への給電、 連絡頻度と情報量を管理します。
人員
操作担当、交代要員、休息、食事、宿泊、 特定担当者への依存を管理します。
水・衛生・空調
給排水、温度、換気、衛生環境を、 利用者と運用者の安全条件として管理します。
外部供給
道路、物流、保守、自治体、取引先など、 施設外からの支援条件を確認します。
フェールソフト・縮退運転の基本シーケンス
災害・事故・障害を検知 ↓ 人命確保と危険箇所の停止・隔離 ↓ 障害範囲と残存機能を確認 ↓ 電力・燃料・通信・人員を確認 ↓ 継続する重要機能を決定 ↓ 制限する機能・停止する機能を決定 ↓ 縮退モードへ移行し、資源を重要機能へ再配分 ↓ 消費量・残量・設備状態を継続監視 ↓ 補給・修理・外部支援を反映 ↓ 復帰条件を満たした系統から段階的に通常運転へ戻す
フェールソフト設計に残るSPOF
非常用電源、予備回線、冗長設備を設置しても、 障害を検知できない、縮退モードへ移行できない、 または担当者が操作できなければ重要機能の継続は成立しません。
- 障害範囲を特定できず、正常部分まで停止する
- 負荷を計測できず、使用可能な電力が分からない
- 燃料の消費量と補給時期を把握できない
- 切替操作が特定担当者に集中している
- 通信機器の予備電源が一系統しかない
- 停止する設備と継続する設備が決まっていない
- 通常運転への復帰順序が定義されていない
フェールソフトは、障害の影響を限定し、 縮退運転・縮退運用によって重要機能を維持しながら、 通常運転へ戻るための余力を残す設計です。
IMPLEMENTATION / CASE 09
全負荷を対象とし、発電能力の範囲で縮退運転する
社会福祉法人真澄会の事例では、 特別養護老人ホーム、デイサービス、保育園を 一つの事業継続システムとして設計しています。
既存高圧設備の全負荷をバックアップ対象としながら、 スマートメーターで実負荷を計測し、 54kVA級LPガス発電機2台、合計108kVAの範囲で 使用電力を管理します。
平時から発電機をデマンド抑制に使用し、 職員が起動、切替、負荷、警報、燃料を確認することで、 災害時のフェールソフトと縮退運転を実機で経験できる運用としています。
CASE 09を読む →あわせて確認する
FAQ
フェールソフト（フェイルソフト）とは何ですか？
フェールソフトとは、設備やシステムの一部に障害が発生した場合に、異常部分を切り離し、機能や性能を制限しながら重要なサービスを継続する設計思想です。完全停止を避け、限定された状態でも安全かつ管理可能な運転を維持します。
フェールソフトと縮退運転の関係は何ですか？
フェールソフトは障害時にも重要機能を維持する上位の設計思想です。設備、電源、通信、制御などの機能を限定して継続する具体的な運転を縮退運転と呼び、業務、営業時間、サービス範囲、人員配置などを限定して継続する運用を縮退運用と呼びます。
フェールソフトとフェールセーフの違いは何ですか？
フェールセーフは、障害時に安全側へ停止または移行する考え方です。フェールソフトは、安全を確保したうえで、利用可能な機能と資源の範囲に限定して重要なサービスを継続する考え方です。設備や機能ごとに両者を使い分けます。
縮退運転と緊急停止の違いは何ですか？
緊急停止は、人命や設備を危険から守るために対象を停止する対応です。縮退運転は、危険箇所を停止または隔離したうえで、重要な機能を選び、制限された電力、燃料、通信、人員の範囲で継続する対応です。
フェールソフトや縮退運転はいつ開始しますか？
障害を検知した時点で自動または手動の縮退モードへ移行します。災害や長期停電では、復旧時刻が不明、電力や燃料が有限、通信や人員が不足するなど、通常運転を続けることで重要機能の継続時間が短くなると判断した時点で開始します。
72時間分の非常用電源があれば縮退運転は不要ですか？
非常用電源の容量だけでは事業の継続時間は決まりません。実際の負荷、燃料消費、補給経路、通信、人員、給排水、空調などを継続的に確認し、重要機能へ資源を再配分する必要があります。
通常運転へ戻す条件は何ですか？
商用電源、通信、燃料、設備、人員などの復旧状態を確認し、再起動時の突入電流、負荷集中、データ整合性、安全装置の状態を確認したうえで、事前に定めた順序に従って段階的に復帰します。
