失敗事例

シナリオ
事例名称 オートドライブコンピュータの疲労
代表図
事例発生日付 1987年07月12日
事例発生地 日本
事例発生場所 全国各地
機器 トヨタ自動車スポーツカー・セリカXX2800（1981年型）のオートドライブコンピュータ
事例概要 エンジンが突発的に高速回転しオートマチック車（AT車）が急発進する暴走が日米で問題となっているなかで、コンピュータの老朽化によっても暴走することを示す例が7月12日明らかになった。問題の車は、トヨタ自動車のスポーツカー・セリカXX2800（1981年型）で、5年半後にコンピュータが誤作動したことがわかった。コンピュータは1986年秋からリコール（無料回収・修理）の対象となっていたが、未回収のままだった。同様なリコール漏れの車は全国にセリカなど数車種600台近くも残っており、運輸省は7月10日に、トヨタ自動車に対して回収に全力をあげるように指示した。
事象 エンジンが突然高速回転するという異常を経験したのは、東京都杉並区内の飲食店主である。1987年2月末に、1986年11月に中古で買った車をバックさせようと、スイッチを入れたところ、エンジンがグアーンという異常な音をたてて、平常は1000回転以下のはずなのに3～4000回転にもなった。すぐにエンジンのスイッチを切ったため無事だったが、変速レバーを動かしていたら急発進事故は避けられなかったという。
その後は同じようなことが起きなかったため、メーカーに連絡しなかったが、最近、AT車問題が報道されるようになったため、7月初めにトヨタ自動車東京支社に問い合わせた。すぐに車を見せてほしいといわれ、7月7日に「オートドライブコンピュータ」が交換された。その際、初めて、リコールの対象車であることを知らされ、車には、リコール済みを示す「NO287自動車安全対策協議会」と記されたシールが張られていた。
交換されたオートドライブコンピュータは、別名「自動速度制御装置」とか「定速走行装置」と呼ばれる。アクセルペダルを踏まなくても、コンピュータが自動的にエンジンのスロットルバルブ（出力調整弁）を開閉して車速を希望の一定速度に保つ仕組みである。
経過 トヨタ自動車の説明によると、コンピュータの集積回路（IC）のはんだづけ部分にき裂が入り、電気が通じにくくなった。このため、コンピュータが誤作動し、スロットルバルブを勝手に開き、エンジンが高速回転になることがわかった。
はんだにき裂ができた原因は、コンピュータの温度が冷・熱を繰り返すため、コンピュータ基板が膨張・収縮し、この力が直接はんだ部分に加わり、長年のあいだにはんだが金属疲労を起こしてき裂-破断を生じたことによる、としている。
コンピュータのリコールは、1986年10月2日から、暴走の危険を訴える30件近い苦情のあった米国同様にわが国でも実施されたが、トヨタ自動車側は、運輸省に対して、国内では米国のような苦情は1件も起きていないと報告していた。リコールは1987年1月に完了の予定と届けられていたが、7月10日現在の回収率は廃車分も含めて90.2％で、まだ562台が未回収のままである。過去のリコールの平均回収率は97％でもあり、運輸省は7月10日、トヨタ自動車のリコール責任者を呼び回収の徹底を指示した。
リコール漏れについてトヨタ自動車は「車の持ち主が釧路から富山、そして都内と3人も代わっていた。1987年1月になってから、現在の持ち主の名前がわかり、車の登録証明記載の住所を訪ねてみたが、該当者が見つからず、そのままになっていた」（広報部）と説明している。
原因 コンピュータを構成するIC（Integrated Circuit、集積回路）のはんだ（solder）が疲労する。IC、LSI（Large Scale Integration）のマイクロ接続技術の一例として、フリップチップボンディングがある。はんだ接続部の構造と熱サイクルによるせん断変位を図2に示す。Al2O3基板とSiチップは熱膨張係数が異なり、はんだにせん断ひずみが生じる。例えば、エンジンルーム内に組み込まれたオートドライブコンピュータの場合、強制冷却されるコンピュータ内部のICは、オンオフの繰返しで0⇔150℃の熱サイクル（thermal cycle）を受け、はんだに熱疲労（thermal fatigue）が生じる。
対処 図3（a）を参照して、はんだは球形状であり、接合部で断面積は最小となり、周囲に必ず切欠きを形成し、時には接合不良や界面剥離などの未接合部を含む。したがって、接合部の応力が最も高く、疲労は必らず接合部で生じる。しかし、接合部の形状は個々のはんだごとに千差万別であり、疲労寿命は著しい変動を示すことになる。このような場合、従来のセンスで疲労の対策を実施し、平均的に疲労寿命を改善できたとしても、無数のはんだ接合部のうちで最も弱い1箇所に疲労き裂が入れば、これがIC、そしてコンピュータの機能低下をもたらし（最弱リンク説）、しかもこの最小寿命を的確に予測することはほとんど不可能である。
これへの対処は疲労破壊の制御という発想である。図3（b）を参照して、はんだを鼓形状とすれば、疲労ははんだの接合部でなく、中央部で生じる。中央部は切欠き、未接合の問題はなく、試験片と同様に変動の少ない疲労寿命を的確に設定できる。鼓形状のはんだへの形状制御設計は、すでに開発されている。実際の作業手順はSiチップとAl2O3基板のそれぞれにはんだバンプを形成し、それを突き合わせて溶融する。鼓形状を得るためには、はんだ溶融時にSiチップとAl2O3基板を押し付けるのではなく、逆にSiチップとAl2O3基板を引き離してはんだを引き伸ばす必要がある。Siチップを真空吸引して引き伸ばす方法が考案されたが、数10μmの制御精度が必要なために、実用化されていない。そこで図4に示すように、Siチップの中央部（あるいは四隅でもよい）に設けた制御用はんだの溶融時の表面張力を利用して、Siチップを上方に押し上げ、接続用はんだを引き伸ばす。押し上げ高さは制御用はんだと接続用はんだの表面張力に基づく力のバランスで、容易に制御できる。この方法ははんだ自身をはんだによって制御するという意味で、はんだの自己形状制御技術という。実際に、鼓形状に制御されたはんだの疲労寿命は、球形状のそれに比較して変動が少なく、3～4倍の長寿命化が得られている。このような意味でのはんだの自己形状制御設計は、裏を返せばはんだのき裂発生箇所の制御という破壊制御設計にほかならない。
この例のように、今後は電気・電子部品の設計に際して、耐久性、信頼性の観点からわれわれが積極的に介入する必要がある。設計ばかりでなく、加工の問題も同様である。破壊の学問はものを破壊するためではなく、ものを創造するために存在するという原点を忘れてはならない。上述したはんだも製造プロセスに関連した問題の1つであった。さらに、最近の半導体デバイスでは、ウエハ処理、ダイボンディング、フリップチップボンディング、ワイヤボンディング、パッケージングなどの製造プロセスにおいて、変形と割れをいかに防止するかが大きな課題となっている。供用中の信頼性向上以前に、このような製造プロセス対象の破壊制御設計の助けを待ち望んでいる。
対策 はんだは機能材料である。負荷がないはずの機能材料が疲労し、コンピュータの誤作動、機能低下をもたらす。機能材料にも負荷の想定と、強度の評価が必要である。
知識化 「機能材料の破壊」
材料には、使用目的に応じて、構造材料（強度材料）と機能材料の区分がある。構造材料は文字どおりに、機器の構造を形成する材料で、強度を負担する。したがって、構造材料には、所定の強度特性が要求される。機能材料の定義は明確ではない。強度以外の機能の特性の発揮を主目的とするのが、古い機能材料の定義である。最近では、明確で特殊な機能を発揮することを目指して作られた高付加価値材料を、機能材料という。ここでいう機能材料は、前者または後者のいずれであっても構わない。強度も機能の一つであり、そもそも構造材料と機能材料という区分がおかしいことは、さておく。現実には、機器の設計において、機能材料には力は加わらないことが前提であり、したがって強度特性は要求されない。しかし、加わるはずのない力によって機能材料が破壊し、機器またはシステム全体の機能劣化と破壊に至る事故が多発している。機能材料といえども機器の構成材料である以上、力が加わることは当然で、強度特性は要求されるのである。
シナリオ
主シナリオ 無知、知識不足、思い込み、計画・設計、計画不良、設計不良、材料不良、機能材料、はんだ、使用、運転・使用、機器・物質の使用、オンオフの温度サイクル、破損、破壊・損傷、亀裂、不良現象、電気故障、ICの劣化、機能不全、ハード不良、コンピュータの誤作動、起こり得る被害、潜在危険、AT車の暴走
情報源 （１） リコール漏れトヨタAT車、あわや急発進、老朽コンピュータ誤作動、朝日新聞、1987年7月13日
（２）小林英男、破壊力学、p.160-163、共立出版、1993
（３）佐藤了平、大島宗夫、廣田和夫、石 一郎、日本金属学会会報、23、1004（1984）
死者数 0
負傷者数 0
マルチメディアファイル 図1.AT車のオートドライブコンピュータ
図2.はんだ接続部の構造と熱サイクルによるせん断変位
図3.はんだの形状制御とひずみ分布
図4.はんだ接続部の自己形状制御
分野 材料
データ作成者 小林　英男 (東京工業大学)
シナリオ