ALM電源を切れないメンテナンスがある — インターロックがオフの間、誰が見ているのか

VisualPro Tech Brief

電源を切れないメンテナンスがある — インターロックがオフの間、誰が見ているのか

LOTOでは守れないメンテナンス — インターロックがオフの間に残る4つの層と、1つの手順書に問う5つの質問

半導体装置メンテナンスの安全  |  STPAコントロールストラクチャ  |  VWAY 安全分析コラム

LOTOインターロックバイパスSEMI S2 · S10 · E30リスクアセスメントSTPA

装置メンテナンスの安全の基本はエネルギーの遮断です。電源を落とし、施錠し、表示札を掛ける。そのように実施できるメンテナンスは安全なメンテナンスです。

問題は、そうできないメンテナンスです。X線装置の線量を校正するにはX線を発生させなければなりません。RFマッチングを調整するにはRFを印加しなければなりません。ウェーハ搬送ロボットのティーチングをやり直すにはロボットを動かさなければなりません。装置が通電した状態でカバーを外し、手を入れる種類の作業があり、その際には普段作業者を守っているインターロックを、メンテナンスキーで意図的に無効化します。OSHAのロックアウト規則自体もこのケースを認めており、試験および位置調整を例外として定めています（29 CFR 1910.147(f)(1)）。

その間、作業者を守っているのはもはやインターロックではありません。代わりに4つの別のものがその役割を担います。

仕組みはすべて揃っています。問いは1つだけです。この4つの層は自社のメンテナンス手順の中で実際に機能しているのか、そして誰がそれを確認しているのか。

2024年5月27日、韓国の半導体工場でウェーハ分析用X線装置のメンテナンスを行っていた作業者2名が放射線に被ばくしました。1名は手に94 Svを受けました。これは皮膚および手足の年間等価線量限度（0.5 Sv）の188倍です。

原子力安全委員会（NSSC）の調査で明らかになったのは、故障ではありませんでした。遮蔽を開けてもX線が遮断されないようインターロックの配線が変更されていたのです。また作業は、放射線安全管理者の関与なしに、社内手順書と作業者自身の判断で進められていました。2名の放射線安全管理者が694台の放射線機器を担当していました。誰が、いつ、なぜ配線を変更したのかは特定されておらず、責任の所在については捜査が続いています。

本稿は責任の所在について立場を取りません。この事故を上の表に照らし、そこで見えることだけを記します。③の作業許可は空でした。④の可視性も空でした。インターロックはオフになっていましたが、その事実は管理体制のどこにも届きませんでした。配線が変更された装置は正常に見え、作業報告書にはその変更を記録できる欄がありませんでした。

半導体工場に安全プロセスが不足しているわけではありません。SEMI S10で装置のリスクを評価し、HAZOPでプロセスの逸脱を検討し、PTW、LOTO、変更管理（MOC）でメンテナンスを統制しています。しかし、これらのツールが問う内容を並べてみると、装置が通電中でインターロックが無効化されている時間は、そのどれにも現れません。

以下の制度上の詳細は韓国のものですが、そこに表れる隙間は韓国に限ったものではありません。韓国の『事業場リスクアセスメントに関する指針』（雇用労働部告示）第15条は、メンテナンスおよび修理について随時の再評価を求めていますが、すでに評価済みの定期的・反復的な作業は除外しています。予防保全が「定期PM」として分類されると、今回の作業がインターロック配線に触れるかどうかにかかわらず、再評価が省略されうるのです。さらに『重大災害処罰法』施行令第4条は、このリスクアセスメントの手続きを、経営責任者の安全確保義務が履行された証拠として扱います。評価が省略されれば、その証拠も欠落します。

4つの層が機能しているかどうかは、チェックリストでは答えにくい問題です。コマンドが装置に届くあらゆる経路と、情報が装置から出ていくあらゆる経路を、1枚の図に描く必要があります。その図こそがSTPA（System-Theoretic Process Analysis）の第一歩であるコントロールストラクチャです。MITのナンシー・レブソン（Nancy Leveson）教授が開発したSTPAは、事故を部品故障の連鎖ではなく不適切な制御の結果として捉え、誰が何を制御し、各コントローラがどのような情報を受け取っているかを描き出すことから始めます。

以下は、X線分析装置のメンテナンスを仮想モデルとして構成し、VWAYの安全分析ツールVisualProで作成したコントロールストラクチャです。

描いてみると、4つの層の状態がひと目でわかります。

この1枚から、分析では9つの非安全なコントロールアクションと27のロスシナリオをたどりました。導き出された対策は目新しいものではありません。Offlineへの移行、メンテナンスモード終了時の自動復帰、作業種別ごとの許可、インターロック機能試験、ハードワイヤードの高電圧遮断回路。どれも業界ではよく知られています。STPAが行ったのは新しい対策を考案することではなく、コマンド経路をたどって、どの作業のどの時点で、既知のどの対策が欠けていたかを示すことでした。

質問は2つのグループに分かれます。最初の3つは、EHSが明日にも手順書を開いて確認できることです。残りの2つは、装置の購入仕様とSEMI S2評価に盛り込み、装置サプライヤーに要求すべきことです。

装置を通電したままインターロックを無効化するメンテナンス手順書を1つ選んでください。その作業について、コマンドが装置に入るすべての経路と、情報が装置から出ていくすべての経路を書き出し、1枚の図の上で矢印でつなぎます。そして5つの質問を投げかけます。答えに詰まったところが、4つの層のうち空になっている層です。

VWAYはその1枚を一緒に描きます。インターロックを無効化するメンテナンス手順書を1つお送りいただければ、コントロールストラクチャと5つの質問への回答をお返しします。