ISO13849-1カテゴリーとWellTried十分吟味された部品とカテゴリーを構成するSRP/CSのアーキテクチャーについて

カテゴリーの概要とDCavg, MTTFd の関係

パフォーマンスレベル PL を構成している要素

リスクアセスメントから求めた、または、C 規格が定める要求パフォーマンスレベルPLr と パフォーマンスレベルPL の関係は正常な状態で PL≧PLr が成立します。では、どうやってパフォーマンスレベルPL が成り立っているかを紐解くと、パフォーマンスレベルPL は次の4つの要素から成り立っています。

パフォーマンスレベル PL は次の４つの要素から成り立ちます

MTTFd (平均危険側故障時間) については下記記事をご覧ください。

CCF (共通故障原因) については下記記事をご覧ください。

PL とカテゴリー, DCavg, MTTFd の関係のグラフ

これらの関係を示すと下記グラフとして表すことができます。しかし、このグラフは目安であってパフォーマンスレベルPL を正確に導くことはできないので注意してください。

グラフは概略値です。それぞれのPL のしきい値付近の算出のために用いることはできません
正確なMTTFd から計算するPFH 値は ISO 13849-1 の付属書K に従います
付属書K にはPFH 値とその値に対応するPL 値の一覧が記述されています

このグラフを展開すると下記の関係が成り立ちます。

カテゴリー Cat	Cat B	Cat 1	Cat 2	Cat 2	Cat 3	Cat 3	Cat 4
DCavg	なし	なし	低	低	低	中	高
MTTFd 低	a	該当なし	a	b	b	c	該当なし
MTTFd 中	b	該当なし	b	c	c	d	該当なし
MTTFd 高	該当なし	c	c	d	d	d	e

PL≧PLr を達成する複数の手段

PL とカテゴリー, MTTFd, DCavg の関係を表したグラフから PL≧PLr を達成する方法は複数あります。仮にある機械にリスクアセスメントで求めたリスクの見積もりをPLr=d (S2/F2/P1) とした場合、PL≧PLr を達成する方法は下記の図より全部で4 通りあることがわかります。

カテゴリー Cat	Cat B	Cat 1	Cat 2	Cat 2	Cat 3	Cat 3	Cat 4
DCavg	なし	なし	低	低	低	中	高
MTTFd 低	a	該当なし	a	b	b	c	該当なし
MTTFd 中	b	該当なし	b	c	c	d	該当なし
MTTFd 高	該当なし	c	c	d	d	d	e

PL≧PLr を達成するためには複数の達成可能なカテゴリーが存在します。安全回路設計者は自分にとって都合の良いアーキテクチャーが選択できます。選択されたアーキテクチャーは達成されるPL に大きな影響を与えます。

しかし、SRP/CS のカテゴリーがC 規格の要求、または、会社独自のリスクの見積もりの要求最初から決められている場合があります。安全回路設計者は最初にカテゴリーとPLr の要求をよく調べることが大切です。

---

JIS ハンドブック　72　機械安全（2022） [ 日本規格協会 ]
リスクアセスメント担当者や機械・電気回路設計者・EHS担当者にとって重要な規格が網羅されていて必携です。

カテゴリーとアーキテクチャー

カテゴリーとは

ISO 13849-1 においてカテゴリーとよばれるPL 値を決定する基本的なパラメーターがあります。カテゴリーは以下のSRP/CS の信頼性に基づいて達成されます。

カテゴリー　(category)

制御システムの安全関連部品を故障に対する耐性と故障状態でのその後の挙動に関して分類し、部品の構造的配置、故障検出や信頼性によって実現するもの

カテゴリーの信頼性の要素は、故障に対する耐性、故障が起きた後のSRP/CS の動作、SRP/CS の構造と故障の検出の能力によって成り立ちます。

SRP/CS (制御システムの安全関連部)については下記記事をご覧ください。

カテゴリーには「B, 1, 2, 3, 4」という５つの「アーキテクチャー」と呼ばれる論理回路があります。

基本アーキテクチャー

基本のアーキテクチャーは下記のように Input – Logic – Output (I-L-O) から構成されます。

“well-tried” 「十分吟味された」とは

“well-tried” 「十分吟味された」部品や安全原則の採用の要件はカテゴリー１ 以上のアーキテクチャーで必要です。”well-tried” 「十分吟味された」とはISO 13849-2 で定義されています。

well-tried 十分吟味されたとは

1) 同様の用途で幅広く使用し、良い結果が得られている

2) 安全関連の用途に対して適切性及び信頼性を示す原則を利用して製作及び検証されている

設計者はSRP/CS に採用する部品について好き勝手に部品を選択できません。「十分吟味されている」部品は第三者認証機関発行の認証書(CoC) があったり、製造者自身が自己宣言書 (DoC) を用意していることが条件になることが多いです。

機械指令・機械規則 EU 2023/1230 での安全部品と安全機能

機械指令での安全部品

機械指令 Machinery Directive 2006/42/EC 附属書V では安全部品の例示リストを規定しています。これらに該当する安全部品は、機械指令第2条(c) に該当するので、電気的またはソフトウエアが主な部品にもかかわらず機械指令でEC 宣言されCE マークを貼っています。

また、機械指令では附属書V で規定される「安全部品」について定義しています。

機械規則 EU 2023/1230 での安全部品

機械指令 2006/42/EC は2027年1月に機械規則 EU 2023/1230 に変わります

機械規則 EU 2023/1230 では安全部品について定義が増えましたので紹介します。

旧機械指令で付属書V で例示されていた安全部品のリストは、機械規則 EU 2023/1230 では、付属書 II に移動しました。いわゆるAI (人工知能)に関する定義が増えました。

“well-tried” 「十分吟味された」部品の例とそのシンボル

ISO 13849-2:2012 には”well-tried” 「十分吟味された」例が付属書A からD に示されています。SRP/CS に使うことができる電気部品には下記のような規格に基づいて第三者認証機関やメーカーの自己宣言で安全の検証をされ、かつ、規格で決められたシンボルがついています。

「機械的にリンクした接点」と「ミラーコンタクト」の違いは、「機械的にリンクした接点」も「ミラーコンタクト」も、N.O. 接点（主接点）が溶着した場合に、N.C. 接点（補助接点）はOFF を維持する構造となっています。

機械的にリンクした接点

接点間隔は通常動作状態のみならず故障状態が発生したときも0.5mm 以上ある接点のこと

ミラーコンタクト

主接点が溶着しても補助b 接点が接触せず2.5kV に耐える接点。主にメイン回路に使う電磁接触器（マグネットコンタクター）などが該当

IEC 60204-1 との関係

IEC 60204-1 では電気回路に採用できる部品について決められています。安全回路設計者がSRP/CS に使えそうと思っても、実際には使えない場合があるかもしれません。よろしければこちらの記事をご覧ください。

IEC 60204-1 装置の選択
機械の電気装置に用いる電気部品及び電気機器は、次の全てを満足しなければならない
− 意図する用途に適している
− 関連するIEC 規格がある場合は、それらに適合する
− 供給者の使用上の指示に従って用いる

直接開路動作機構（強制乖離機構）を実際にバラバラに分解してみた

IEC 60947-5-1 直接開路動作機構（強制乖離機構）の接点をもつスイッチをバラバラに分解してみました。プランジャーを押せば自らの力の作用で接点を引き剥がすことがわかります。

カテゴリーB

カテゴリーB のイメージ

カテゴリーB のイメージを下記に表します。この回路の特徴はいずれの部品も一般的な部品で “well-tried” 十分吟味した部品ではないこと、かつ、単一回路のアーキテクチャーです。

カテゴリー１

カテゴリー1 のイメージ

カテゴリー１ のイメージを下記に表します。この回路の特徴は入力I が “well-tried” 十分吟味した部品で、かつ、単一回路のアーキテクチャーです。入力I の安全スイッチは直接回路動作機構を有した構造で、IEC 60947-5-1 に適合しているため”well-tried” 十分吟味した部品です。

カテゴリーB や1 では、入力I と出力O が１ 対１ で動作するときは、わざわざ何かを制御することがないのでロジックL を省略できます。

カテゴリー２

テスト頻度

カテゴリー2 のアーキテクチャーではテスト頻度と呼ばれる定期的な安全機能のチェックが必要です。安全機能が必要になるテスト頻度は２通りあります。設計者はテスト頻度について下記のどちらでも採用できます。

安全コントローラーを使わない場合などは、機械をわざわざ非常停止状態にするような100 回毎に1 回に安全機能のチェックが必要です。

カテゴリー２ のイメージ

カテゴリー２のイメージを下記に示します。カテゴリー2 の技術は従来あまり使われることがありませんでした。昨今、安全コントローラーの技術が発達して、安全コントローラーの機能のうちの高度故障検出機能を使って実現できるようになりました。

安全コントローラーへのフィードバックが必要なのは「TE: テスト機器」です。

「OTE: テスト装置の出力」は「TE: テスト機器」の故障の監視をすることが目的です。主回路の電源を遮断する目的の「O: 出力機器」からのフィードバックは任意です。「TE: テスト機器」のフィードバックを安全コントローラーに入力すれば「OTE テスト装置の出力」は警報機器（ランプや表示など）で十分です。

ただし、安全コントローラーの仕様によっては「O: 出力機器」と「OTE: テスト機器の出力」両方のフィードバックが必要になる場合があるかもしれません。

カテゴリー３

カテゴリー３のイメージ

カテゴリー３のイメージを下記に示します。この回路の特徴は入力I も出力O も二重化（冗長化）しています。ロジックL においては見かけは一つに見えますが、安全コントローラーの内部で二重化されています。

カテゴリー４

カテゴリー	要求事項の要約
4	Bの要求事項と”well-tried” 安全原則の使用が適用されること 安全機能は次のように設計されていること: 　いずれの部分の単一故障も安全機能の損失を招かない、かつ 　単一故障は、安全機能に対する次の動作要求のとき、または、それ以前に検出される それが不可能な場合、故障の累積が安全機能の損失を招かないこと 最大到達PL: PL=e DCavg ≧ 99%, MTTFd ≧ High 30 年, CCF ≧ 65
システムの挙動	単一故障の発生時、安全機能が常に機能する 全てでは無いが故障のいくつかは検出される 検出されない故障の蓄積で安全機能の損失を招くことがある
略語	im = 相互接続手段, m = モニタリング, I = Input, L = Logic, O = Output

カテゴリー4 のイメージ

カテゴリー４のイメージを下記に示します。カテゴリー３と４の違いは、DCavg の値のみです。カテゴリー3 のDCavg は「low 低」か「medium 中」です。カテゴリー4 のDCavg は「high 高」のみです。

上記のカテゴリー4 のイメージではアプリケーションの自己診断機能を使うことでDCavg high をめざしています。

---

ここまでお読みくださいましてありがとうございます。実際に採用する安全機器のアプリケーションによって様々なアーキテクチャーでSRP/CS を構築する方法があります。特にカテゴリー3 と4 の違いはDCavg のみに気をつけます。カテゴリー4 でやみくもにDCavg を決定すると実際は違ってたという結果になるかもしれませんので、DCavg の決定には気をつけて下さいましたら幸いです。

この記事ではそれぞれのカテゴリーでのアーキテクチャーに基づいて、最も代表的な部品の組み合わせでSRP/CS を説明しました。次回は自己診断率(DC Diagnostic Coverage), 平均自己診断率(DCavg) の解説にすすみます。