安全防護（ガード・保護装置）の設計
ISO 12100 ステップ2 — 隔離を第一手段とし、距離と停止時間で裏づける
1 はじめに — 第一手段の設計論
JIS B 9700（ISO 12100:2010 IDT）の3ステップメソッドにおいて、ステップ2「安全防護」は本質的安全設計に次ぐ位置を占める(1,2)。そして安全防護の内部には、さらに優先順位がある。ガード（隔離）が第一手段であり、保護装置（停止制御）は従属的手段である。
この優先順位は直観に反して見えることがある。現代の生産設備ではライトカーテンや安全PLCといった制御的手段が目に見えて高度であり、物理的な柵や覆いは素朴な技術に映るからである。しかし優先順位の根拠は技術の新旧ではない。ガードは、それが健全である限り、判断も検出も電源も必要としないという一点にある。制御安全は「検出し、判断し、停止する」という一連の動作が成立して初めて機能するが、隔離は動作を必要としない。
本記事はステップ2を単独で扱う。3ステップメソッドの全体像はJIS B 9700入門を、安全関連制御システムの信頼性を定量化するPL/SILの体系は安全制御システムの設計を参照されたい。本記事が扱うのは「どの物理的防護を選び、どこに置くか」であり、「その制御系がどれだけ信頼できるか」ではない。
2 1. 安全防護の内部にある優先順位
2.1 1.1 隔離が先、停止が後
ガードと保護装置の関係を整理する。
| 優先度 | 分類 | 主な手段 | 主な規格 | 成立要件 |
|---|---|---|---|---|
| 第一 | ガード（隔離） | 固定式ガード、可動式ガード、調節式ガード、柵 | JIS B 9716:2019（ISO 14120:2015 IDT）(3,4) | 物理的健全性のみ |
| 第一の補完 | 距離・すきま | 安全距離、最小すきま | JIS B 9718(5)、JIS B 9711(6)（ISO側の対応版との差は§5.1・§5.2を参照） | 寸法の維持 |
| 第二 | 保護装置（停止制御） | 検知保護設備、インタロック | JIS B 9715(7)、JIS B 9710(8)（版差は§3.3・§6.3を参照） | 検出・判断・停止の全成立 |
ガードで危険源を囲えるなら囲う。囲えない、または定期的に接近する必要があるときに初めて、開口部をインタロックで管理し、あるいは検知保護設備で補う。この順序が安全防護の設計判断の骨格である。
2.2 1.2 日本の法令にも同じ構造がある
この優先順位は国際規格の輸入品ではない。労働安全衛生規則（昭和47年労働省令第32号）には、同じ構造が条文として書き込まれている(9)。
プレス機械及びシヤーに関する第131条は、第1項と第2項が明確な順序関係をなす。
第1項 事業者は、プレス機械及びシヤー（以下「プレス等」という。）については、安全囲いを設ける等当該プレス等を用いて作業を行う労働者の身体の一部が危険限界に入らないような措置を講じなければならない。
第2項 事業者は、作業の性質上、前項の規定によることが困難なときは、当該プレス等を用いて作業を行う労働者の安全を確保するため、次に定めるところに適合する安全装置（手払い式安全装置を除く。）を取り付ける等必要な措置を講じなければならない。
第1項が安全囲い（ガード）を求め、第2項が「前項によることが困難なとき」に限って安全装置（保護装置）を認める。ISO 12100が定式化したガード優先の原則が、1972年制定の国内省令に既に条文構造として存在している(9)。
同じ構造は他の条文にも現れる。原動機・回転軸等については「覆い、囲い、スリーブ、踏切橋等を設けなければならない」（第101条第1項）とされ、産業用ロボットの運転中の接触危険に対しては「さく又は囲いを設ける等」（第150条の4）とされる(9)。いずれも第一義的手段は物理的隔離である。
法令と規格をつなぐのが「機械の包括的な安全基準に関する指針」（基発第0731001号）であり(10)、その解説通達（基安安発第731004号）は、指針が定める優先順位がJIS B 9700の3ステップメソッドに対応することを明示し、ガードを固定式・可動式・調節式に分類している(11)。安衛法第20条の措置義務(12)から省令・指針・JISへと連なる系列の中で、ガード優先は一貫している。
2.3 1.3 図1: 安全防護の選択順序
下段ほど「検出・判断・停止」という動作の成立に依存する。設計判断は上段から順に検討し、成立しない理由が示された場合にのみ下段へ降りる。
3 2. ガードの設計
ガードの設計・製作の一般要求事項はISO 14120（JIS B 9716）が定める(3,4)。ISO 14120:2015は第2版であり、初版は2002年である。重要な適用範囲の限定として、インタロック装置そのものは本規格の対象外であり、ISO 14119が扱う(3)。
3.1 2.1 固定式ガードと固定具の保持
固定式ガードは、工具を使用することによってのみ、または固定手段の破壊によってのみ取り外せるように取り付けられる(3)。ここで実務上見落とされやすいのが固定具の保持である。
保守等の際にガードが取り外されることが予見される場合、固定具はガードまたは機械に取り付けられたまま残る構造（保持固定具）でなければならない(3)。理由は単純で、取り外したボルトが紛失すれば、ガードは復旧されないか、不完全な状態で復旧されるからである。ガードの健全性は「閉じられていること」ではなく「正しく締結されていること」で決まる。
この観点から、マイナス溝のねじ、ローレット付きノブ、蝶ナットは固定式ガードの固定具として適切でないとされる(3)。定規やコインといった即席の道具で開けられてしまえば、「工具を使用することによってのみ」という要件が実質的に失われる。
なお国内法令にも固定具に関する規定はあるが、目的が異なる。安衛則第101条第2項は回転軸等に附属する止め具について「埋頭型のものを使用し、又は覆いを設けなければならない」とし、第3項はベルトの継目に突出した止め具を使用してはならないとする(9)。これらは突起への巻き込まれ防止であり、ガード未復旧の防止を意図する保持固定具とは別の要求である。両者を同一視しないほうがよい。
3.2 2.2 封じ込めと材質
ガードは、実行可能な限り、合理的に予見可能な衝撃および飛散物を受け止め・封じ込められるよう設計され、材質が選定されなければならない(3)。フレームと充填材は剛性のある安定した構造を提供し、変形に抵抗するよう選定・配置される(3)。
つまりガードの設計要件は「人が入れないこと」だけではない。内側から外側への飛散に対する障壁でもある。工具の破損片、ワークの飛び出し、破裂した部品が想定される設備では、開口寸法だけを満たしたメッシュでは要件を満たさないことがある。
3.3 2.3 視認性と人間工学
プロセスの監視が必要な場合、ガードは適切な視界を提供するよう設計・製作されなければならない(3)。メッシュ材は十分な開口率と視認に適した色を持つべきであり、有孔板は観察対象領域より暗い色のほうが視認性が向上する(3)。
人間工学的配慮も要求される。取り外し可能なガード部分は、扱いやすい寸法・質量・設計でなければならない(3)。重すぎるガード、視界を奪うガード、開閉に手間のかかるガードは、後述する無効化の動機を作る。使いにくいガードは外されるという経験則は、規格の要求事項として制度化されている。
ISO 14120:2015への改訂では、定義がISO 12100に整合され、色および外観に関する条項が新設された(3)。
3.4 2.4 調節式ガードの位置づけ
固定式・可動式に加え、第三の類型として調節式ガードがある。指針の解説通達もガードを固定式・可動式・調節式に分類している(11)。
調節式ガードは、ガードの全体または一部を作業条件に応じて調節できる構造をとる。ワーク寸法が変動する加工機械のように、開口部を一律に固定すると作業が成立しない箇所で用いられる。
設計上の注意は、防護の成否が調節という運用行為に依存する点にある。固定式ガードは工具がなければ状態が変わらず、インタロック付き可動式ガードは開放が機械停止に結びつく。これに対し調節式ガードは、調節が適切に行われて初めて隙間が意図した寸法に収まる。開口寸法が広げられたまま運転されれば、§5で述べる安全距離の前提が崩れる。
したがって調節式ガードは、固定式や可動式で対応できない場合の選択肢として扱い、採用する場合は調節範囲の物理的な制限と、調節後の寸法が維持されることの確認を設計に含める必要がある。
4 3. インタロック装置の選定
可動式ガードの開閉を機械の運転状態に結びつけるのがインタロック装置であり、ISO 14119（JIS B 9710）が設計・選択の原則を定める(8,13)。
4.1 3.1 型式の2軸分類
インタロック装置は、作動方式（機械的接触か非接触か）とアクチュエータのコード化の有無という2軸で4型式に分類される(13)。
| 型式 | 作動方式 | アクチュエータ | 代表例 |
|---|---|---|---|
| Type 1 | 機械的作動 | 非コード化 | 位置スイッチ（カムによる押し込み等） |
| Type 2 | 機械的作動 | コード化 | 専用形状のタング（舌片）式スイッチ |
| Type 3 | 非接触作動 | 非コード化 | 磁気式・誘導式・静電容量式センサ |
| Type 4 | 非接触作動 | コード化 | RFID式・トランスポンダ式センサ |
コード化とは、正しいアクチュエータだけがスイッチを作動させられるようにする設計である。コードのバリエーション数により、低（1〜9通り）、中（10〜1000通り）、高（1000通り超）に区分される(13)。
4.2 3.2 施錠式インタロックの解錠原理
機械が停止指令の後も惰性で運転を続ける場合、ガードを開けられる状態にしておくことはできない。施錠式インタロックはガードの開放を機械的にロックし、停止確認後に解錠する。
解錠の原理には、通電により施錠する方式（power-to-lock）と、通電により解錠する方式（power-to-release）がある(13)。電気機械式の装置では一般に後者が用いられ、電源喪失時にはばね力で施錠状態が維持される。電源が失われたときにどちらの状態へ倒れるかが設計上の分岐点であり、惰性運転中の停電で解錠されては保護が成立しない。
4.3 3.3 規格の版差に注意する
ISO 14119は2024年9月に第3版へ改訂された(14)。この改訂では、ISO/TS 19837が附属書Kとして統合され、Type 5としてトラップトキー式インタロック装置が新たに定義された。またISO/TR 24119が附属書Jとして統合され、改ざん防止措置が強化されている(14)。
一方、対応するJIS B 9710:2019はISO 14119:2013に対応する版であり、2024年版の内容（Type 5の追加等）は反映されていない(8)。国内案件でJISを根拠に設計する場合と、輸出機械で最新のISO/EN整合規格を求められる場合とで、参照すべき内容が異なる。この版差は実務上の判断に影響するため、設計仕様書では参照規格の年号まで特定しておく必要がある。
4.4 3.4 制御系の信頼性は本記事の範囲外
インタロック装置の選定は「どの装置を選ぶか」の問題である。選んだ装置を含む安全機能の回路が、どれだけの信頼性（PL / SIL）を達成しなければならないかは別の設計課題であり、JIS B 9705-1（ISO 13849-1 対応）(15)およびJIS B 9961（IEC 62061 対応）(16)が扱う。その体系は安全制御システムの設計で解説している。機械の電気設備に関する一般要求はJIS B 9960-1（IEC 60204-1 IDT）が定める(17)。
5 4. 無効化という設計問題
5.1 4.1 無効化は例外的な逸脱ではない
ガードとインタロックの設計を論じる上で避けて通れないのが、無効化（defeat / Manipulation）である。
ドイツ労働災害保険組合の労働安全衛生研究所（IFA）は、2019年末から2022年夏にかけて労働安全分野の専門家約850名を対象とする調査を実施し、4台に1台の機械で安全装置が一時的または恒久的に無効化されていると報告している(18)。
この数値の含意は重い。無効化を「一部の逸脱した作業者による例外的行為」として扱う限り、対策は教育と規律に向かう。しかし4台に1台という水準は、個人の資質ではなく設計と作業条件が無効化を誘発していることを示唆する。段取り替え、清掃、異常処置といった作業でガードが邪魔になるなら、外されるのは予見可能な帰結である。
5.2 4.2 動機を減らす設計
したがって対策は、無効化を禁止することではなく、無効化する動機を設計で減らすことに向かう。ISO 14119は、合理的に予見可能な方法での無効化に対する対策を求め、装置の型式選定、取付方法、コード化レベルをその手段として位置づける(13)。2024年版ではこの側面がさらに強化されている(14)。
具体的な方向は前節までの要求事項と接続している。視認性の確保（§2.3）は、ガードを開けずに状態を確認できるようにする。人間工学的配慮（§2.3）は、開閉の手間そのものを減らす。コード化（§3.1）は、代替アクチュエータによる欺瞞を難しくする。これらは独立した要求ではなく、無効化への抵抗力という一つの目的に収束している。
国内法令にも無効化を意識した規定がある。安衛則第131条第3項は、プレス等の措置について「行程の切替えスイツチ、操作の切替えスイツチ若しくは操作ステーシヨンの切替えスイツチ又は安全装置の切替えスイツチを備えるプレス等については、当該切替えスイツチが切り替えられたいかなる状態においても講じられているものでなければならない」と定める(9)。切替操作による保護の失効を許さないという趣旨であり、無効化対策の条文である。
6 5. 距離とすきまで守る
ガードで完全に囲えない場合でも、距離は保護方策として機能する。
6.1 5.1 到達を防ぐ安全距離
ISO 13857（JIS B 9718）は、上肢および下肢が危険区域に到達することを防ぐ安全距離を規定する(5,19)。保護構造物の高さ、危険源の高さ、両者の水平距離の組み合わせによって必要寸法が決まり、また保護構造物に規則的な開口部がある場合は、開口寸法に応じて危険源までの距離が定められる。
適用にあたっては母集団の区分に注意を要する。ISO 13857は14歳以上を対象とする表と、3歳以上を対象とする表を持つ(19)。産業用途では前者が基本となるが、一般公衆がアクセスしうる設備では後者の検討が必要になる。
版の対応に注意が必要である。国内規格のJIS B 9718:2013はISO 13857:2008に対応する版であり(5)、現行の国際規格であるISO 13857:2019(19)の内容は反映されていない。国内案件でJISを根拠とする場合と、輸出機械で最新のISO/EN整合規格を求められる場合とで、参照すべき寸法が異なりうる。
6.2 5.2 押しつぶしを避ける最小すきま
可動部の間、または可動部と固定部の間に人体部位が入りうる場合、最小すきまはISO 13854（JIS B 9711）による(6,20)。
本節で引用する規定は、JIS B 9711:2002（ISO 13854:1996 IDT）の条文を確認したものである(6)。現行の国際規格はISO 13854:2017であり(20)、規定が改訂されている可能性がある。以下の要求事項は設計時の着眼点として読み、具体的な数値および適用条件は実際に適用する版で確認されたい。
適用範囲の限定が重要である。本規格は押しつぶしの危険源にのみ適用可能であり、衝撃、せん断、引込みには適用できない(6)。同じ隙間であっても、危険源の性質が異なれば別の方策が必要になる。
選定の原則として、押しつぶしのリスクが様々な人体部位を含むことが予見可能な場合、それら最大の部位に関連する最小すきまを適用しなければならない(6)。手が入る隙間に腕も入りうるなら、腕を基準にする。
さらにリスクアセスメントでは次の事項を考慮するよう求められる(6)。
- 子供が対象に含まれる場合の、予測不可能な挙動および人体寸法
- 人体部分が想定と別の形態で押しつぶしの区域に進入するかどうか
- 厚い、またはかさばる衣服（例えば高温のための保護服）や工具への配慮
- 足の有効寸法を増加させる底の厚い靴の使用
これらは机上の寸法計算が現場で崩れる典型的な経路である。防熱服を着た作業者、工具を持った手、厚底の安全靴は、いずれも設計時の人体寸法を超える。
そして最小すきまで適切な安全性を達成できない場合、規格は開口部を制限した保護構造物によって、より大きな人体部位の接近そのものを防ぐ方法を示している(6)。すきまの設計と開口部の設計は連続した判断であり、ISO 13854とISO 13857は独立に使うものではない。
7 6. 停止時間が距離を決める
7.1 6.1 一般式
ライトカーテンやレーザスキャナのような検知保護設備は、設置しただけでは保護にならない。検知してから機械が止まるまでの間に、人体が危険区域へ到達してしまえば意味がないからである。
必要な最小距離を与えるのがISO 13855（JIS B 9715）である(21,22)。一般式は次の形をとる。
\[ S = (K \times T) + C \]
各項の定義は次のとおりである(22)。
| 記号 | 意味 | 単位 |
|---|---|---|
| \(S\) | 危険区域から検知点・線・面・区域までの最小距離 | mm |
| \(K\) | 人体または人体部位の接近速度に基づくデータから抽出されたパラメータ | mm/s |
| \(T\) | 総合システム停止性能（検知から機械停止までの合計時間） | s |
| \(C\) | 保護設備の作動前に危険区域へ向かって進入しうる距離を勘案した追加距離 | mm |
\(T\) が「総合」であることは実務上重要である。規格の計算例では応答時間が「90 ms = 60 + 30 (ms)」と分解して示されており(22)、保護設備の応答時間と機械側の停止時間の両方を合算しなければならない。機械側の停止時間は摩耗やブレーキ性能の劣化で伸びるため、\(S\) は設置時に一度決めれば済む値ではない。
7.2 6.2 図2: 最小距離 S の構成
C: 検知されないまま危険区域へ進入しうる距離。検出能力 d が粗いほど大きい。
7.3 6.3 検出能力に応じたパラメータ
垂直接近（検知区域に対して直交して接近する構成）で、検出能力40 mm以下の電気的検知保護設備を用いる場合、規格は次を適用する(22)。
\[ S = (2000\,\text{mm/s} \times T) + 8(d - 14\,\text{mm}) \]
ここで \(K = 2000\) mm/s、\(C = 8(d - 14\,\text{mm})\) であり（ただし \(C\) は0未満としない）、\(d\) は装置の検出能力（mm）である(22)。この式は500 mm以下のすべての \(S\) に適用され、\(S\) は100 mm未満であってはならない。
\(S\) が上式で500 mmを超える場合には、接近速度を歩行相当に切り替えて再計算する(22)。
\[ S = (1600\,\text{mm/s} \times T) + 8(d - 14\,\text{mm}) \]
この場合、\(S\) の最小値は500 mm未満であってはならない(22)。つまり \(K\) の使い分けは設計者の裁量ではなく、計算結果によって決まる手順である。\(K = 2000\) mm/s は手・腕が伸びる速度、\(K = 1600\) mm/s は全身が歩いて接近する速度に対応する。
規格の計算例は次のとおりである(22)。応答時間 \(T = 90\) ms のとき、
- \(d = 14\) mm（指の検出）: \(S = 2000 \times 0.09 + 8(14-14) \approx 180\) mm
- \(d = 30\) mm: \(S = 2000 \times 0.09 + 8(30-14) = 180 + 128 = 308\) mm
検出能力を細かくすると \(C\) が縮み、必要距離が短くなる。狭い設置スペースで距離を確保できないとき、応答時間の短縮と分解能の向上のどちらで解くかという設計判断がここに現れる。
検出能力が40 mmを超え70 mm以下の設備は手の進入を検知しない(22)。したがってリスクアセスメントによって手の検知が不要と示された場合に限って使用され、その場合は \(K = 1600\) mm/s、\(C = 850\) mmを適用し、最上部のビームは900 mm以上、最下部のビームは300 mm以下の高さとしなければならない(22)。
本節の算式・定数は、JIS B 9715:2006（ISO 13855:2002 IDT）の規定を逐語確認したものである(22)。
国内・国際とも、これより新しい版が存在する。国際規格はISO 13855:2010(21)、対応する国内規格はJIS B 9715:2013である(7)。本記事は旧版の条文を根拠としているため、数値・適用条件が現行版で改訂されている可能性を排除できない。
したがって実設計にあたっては、適用すべき版（国内案件ならJIS B 9715:2013）を特定し、当該版の規定を直接確認すること。本記事の数値をそのまま設計根拠としないこと。
同種の版差は本記事が扱う他のB規格にも存在する。
| 主題 | 現行ISO | 対応JIS | JISが対応するISO版 |
|---|---|---|---|
| インタロック装置（§3.3） | ISO 14119:2024(14) | JIS B 9710:2019(8) | ISO 14119:2013 |
| 到達を防ぐ安全距離（§5.1） | ISO 13857:2019(19) | JIS B 9718:2013(5) | ISO 13857:2008 |
| 最小すきま（§5.2） | ISO 13854:2017(20) | JIS B 9711:2002(6) | ISO 13854:1996 |
| 保護設備の位置決め（本節） | ISO 13855:2010(21) | JIS B 9715:2013(7) | ISO 13855:2010 |
最下行（保護設備の位置決め）だけは、現行ISOと現行JISの内容が対応しており両者の乖離はない。本節で注意を要するのは、本記事がその現行JISではなく旧版のJIS B 9715:2006を根拠としている点である。他の3行はISOとJISの間に乖離がある。
安全防護のB規格群では、ISOとJISの改訂時期がずれる。参照規格は年号まで特定する必要がある。
7.4 6.4 法令が求める「停止性能に応じた性能」
この距離の考え方は国内法令にも現れている。安衛則第131条第2項第二号は、プレス等の安全装置について「両手操作式の安全装置及び感応式の安全装置にあつては、プレス等の停止性能に応じた性能を有するものであること」と定める(9)。
条文は算式を示さないが、要求の構造はISO 13855と同一である。停止性能（\(T\)）が保護装置の必要性能（\(S\)）を決めるという関係が、条文レベルで要求されている。
8 7. 予期しない起動の防止
ガードを開けて内部に入る作業では、ガードとインタロックだけでは足りない。作業中に機械が起動しないことを別の手段で担保する必要があり、これをISO 14118（JIS B 9714）が扱う(23,24)。
要求の骨子は、動力供給源からの隔離、遮断ユニットの施錠、そして重力やばねなどに蓄積されたエネルギーの散逸または拘束である(23)。ガードが人と危険源を空間的に隔てるのに対し、ここでの隔離はエネルギーの経路を断つものである。
国内法令の対応条文は安衛則第107条である(9)。
第1項 事業者は、機械（刃部を除く。）の掃除、給油、検査、修理又は調整の作業を行う場合において、労働者に危険を及ぼすおそれのあるときは、機械の運転を停止しなければならない。（ただし書き略）
第2項 事業者は、前項の規定により機械の運転を停止したときは、当該機械の起動装置に錠を掛け、当該機械の起動装置に表示板を取り付ける等同項の作業に従事する労働者以外の者が当該機械を運転することを防止するための措置を講じなければならない。
「起動装置に錠を掛け」「表示板を取り付ける」は、米国OSHAの1910.147が定めるロックアウト・タグアウト（LOTO）と同じ構造である(25)。施錠（ロックアウト）と表示（タグアウト）という二つの要素が、日本の省令にも明示されている。
産業用ロボットの教示作業に関する第150条の3も同じ思想を持つ。同条は不意の作動による危険を防止する措置を求めつつ、その一部について「産業用ロボットの駆動源を遮断して作業を行うときは、この限りでない」とただし書きを置く(9)。エネルギー遮断が最も確実な手段であることを前提とした構造である。
9 8. 統計が示す優先順位の妥当性
安全防護の設計が実際の労働災害とどう対応するかを確認する。
厚生労働省の統計によれば、令和6年の死亡災害のうち「はさまれ・巻き込まれ」は110人であり、事故の型別で第3位を占める(26)。同年の労働災害全体では死亡746人、休業4日以上の死傷135,718人が報告されている(27)。
「はさまれ・巻き込まれ」は、本記事が扱ってきた危険源の類型そのものである。可動部と固定部の間、または二つの可動部の間に人体部位が入ることによって生じる災害であり、ガードによる隔離、最小すきまの確保、予期しない起動の防止が直接に対応する。
米国では、災害統計ではなく規制当局の指摘事項の側から同じ構図が見える。OSHAが公表する2024会計年度の被引用件数上位10基準には、危険エネルギー管理（LOTO、29 CFR 1910.147）と機械の防護（machine guarding、29 CFR 1910.212）の双方が含まれている(28)。規制当局が頻繁に指摘する事項の中に、本記事が扱ってきたガードとエネルギー遮断の両方が現れていることは、設計上の優先順位が実務上の弱点と一致していることを示している。なおOSHAは、LOTOの適切な実施により年間およそ120名の死亡が防止されうると推計している(25)。
ここで§4の無効化調査と統計を重ねると、一つの像が結ばれる。ガードは第一手段であるが、設置されていることと機能していることは別である。4台に1台で無効化が起きている環境では、ガードの設置率ではなく、ガードが外されずに使われ続ける設計になっているかが問われる。
10 9. まとめ — 設計判断の順序
安全防護の設計は、次の順序で判断する。
- 囲えるか — 運転中にアクセスが不要なら固定式ガードとする。固定具は保持構造とし、飛散物の封じ込めと視認性を同時に満たす（§2）
- 開けるなら、どう管理するか — 定期的アクセスにはインタロック付き可動式ガード、惰性運転があるなら施錠式とする。型式とコード化レベルは無効化への抵抗力から選ぶ（§3）
- なぜ外されるかを設計に織り込む — 視認性、質量、開閉の手間は無効化の動機に直結する。動機を減らすことが対策である（§4）
- 囲えない部分は距離で守る — 到達を防ぐ安全距離と、押しつぶしを避ける最小すきまを、最大の人体部位と実際の着衣・工具を前提に決める（§5）
- 検知で補うなら、停止時間から距離を決める — \(S = (K \times T) + C\) により、停止性能が必要距離を決定する。停止性能の劣化は距離の不足に直結する（§6）
- 中に入る作業はエネルギーを断つ — 動力の隔離、遮断ユニットの施錠、蓄積エネルギーの散逸を行う（§7）
この順序を貫くのは一つの原則である。保護は、動作を必要としない手段ほど信頼できる。固定式ガードは何も判断しない。安全距離は何も検出しない。それらで届かない範囲に限って、検出し判断し停止する仕組みに委ねる。制御安全が高度であることは、それを先に置く理由にはならない。
安全関連制御システムをどこまで信頼してよいかという問いは、安全制御システムの設計で扱うPL/SILの体系に接続する。本記事が示したのは、その問いに至る手前で決めるべきことがあるという点である。