その電源、採用しても大丈夫？ 安全軽視は“すぐそこにある危機”：Wired, Weird（2/3 ページ）

[山平 豊，内外テック]

引き金はCMOS ICの保護ダイオード

　このモータードライバを分解して調べたところ、制御部の5V電源のヒューズが切れており、DC5Vの電源ラインに過電流が流れたことが分かった。しかし制御部のDC5V電圧が低下しても、電源部のDC5V電圧でトランジスタが制御されていた。モータードライバを駆動する信号の制御部と電源部のインタフェースを確認したら、制御部にはトーテムポール型の高速CMOS ICが使用されていた。そのICの入出力部の回路を図2に示す。

図2　トーテムポール型の高速CMOS ICの入出力部

　図2の右側のOutput端子が、電源部のサーボドライバを駆動する上アームと下アームのトランジスタ群（Tr1〜Tr6）の駆動回路に接続され、Output端子の論理レベルがローになると上下アームのトランジスタ群がオンするように動作していた。しかしこのICのOutput端子には図2から読み取れるように保護ダイオードが付いており、そのダイオードが事故の引き金になった。

　電源V_CCにDC5Vが通電されている時は、Output端子の論理レベルがハイの場合にモータードライバのトランジスタがオフし、論理レベルがローの場合にトランジスタがオンするように動作する。しかし、DC5Vの電源ヒューズが切れると、制御部のDC5V電源が低下してV_CCはほぼ0Vになる。すると、図2のOutput端子へ電源部から矢印の向きに保護ダイオードを介してV_CCへ電流が流れ込み、あたかもOutput端子からローが出力されたような状態を作り出してしまった。このため図1のTr1〜Tr6の全てのトランジスタが同時にオンしてしまい、サーボ電源を短絡してモータードライバを焼損させてしまったのだ。

“小手先の対策”で終止符を打ったが……

　この事故の対策として、CMOS ICの品種を変更した。当初のICと機能も端子配置も同じで、出力部に保護ダイオードが付加されていない品種である。これなら、5Vヒューズが切れてもOutput端子に電流が流れ込まず、モータードライバの焼損は起こらない。事故の直接の原因が取扱説明書に記載された操作を守らなかったことにあったので、この場ではICの品種変更という“小手先の対策”をとった。そして、安全設計の観点での焼損事故の根本原因の追究や対策は行われなかった。

　例えば、なぜ制御部の方にヒューズを付けたのか？ なぜヒューズが切れたのか？ 電源の過電流や加熱時のシャットダウン機構はどうなっていたのか？ ……などなど。本来は製品の電源回路を確認して、たとえ異常な操作があっても焼損事故を起こさないように、安全対策を実施すべきであった。この対策だけで本当に大丈夫なのか、他に問題が隠れていないか？ 筆者の頭の隅にこの焼損事故の記憶はずっと鮮明に残っていた。

安全回路を意図的に排除

　その事故から15年後、筆者が今年になって新たに修理業務に携わるようになった後、奇しくも同じメーカーで設計・製造された類似のモータードライバの修理依頼を受けた。今度は現品を預かってじっくりと内部を観察し、特に電源部の回路を詳細に確認することができた。その結果、この修理品に安全回路を意識的に排除した回路設計が見つかった。

　AC電源を入力とするモータードライバには、サーボ電源の他、5V、±12V、電源制御IC用の電源など、少なくとも5系統のDC電源が必要になる。いわゆるマルチ電源だが、これには2次側（出力側）に複数の出力があるトランスが使用されている。

　こうしたマルチ電源では、入力電圧やフィードバック回路の負荷変動によって、各系統の電源出力に過電流や過電圧が発生しやすい。このため、過電圧になっても電源を破損させない設計は必須条件である。特に、AC電源でトランスの2次出力を整流して、そのまま負荷につないだ場合、フィードバック電圧の負荷変動の影響を受けて、2次出力電圧が過電圧になり、事故や動作不良を起こしやすい。このため2次出力電圧に過電圧検知回路を設け、過電圧検知時にラッチして、2次出力電圧を遮断する過電圧シャットダウン回路を備えておくことが不可欠だ。

　なお、最近のマルチ電源では過電圧シャットダウン回路の代わりにシリーズレギュレータを入れて、過電圧に耐える回路を採用することが多くなった。この方法は出力電圧も安定するので、一石二鳥の方法である。

　さて、修理依頼のモータードライバ基板の電源回路部を詳細に確認した。スイッチング電源のトランス出力を整流し、5V、±12V、制御IC用電源、その他の電源を生成し、負荷へ供給するという回路構成をとっている。