PL決定に役立つ安全機能の故障検出能力の自己診断率DCとSRP/CSへの平均自己診断率DCavgの計算方法

故障のモード　安全側故障と危険側故障

安全側故障と危険側故障

故障には安全側故障と危険側故障がの２つの故障モードが存在します。安全側故障と危険側故障についての詳しい解説は下記の記事をご参照ください。

検出側と非検出側とは？

モノが壊れるとき、どんな故障かということが大切です。

安全側故障と危険側故障があります。安全側故障は、壊れても大きな問題にならない故障です。危険側故障は、壊れると大きな問題になる故障です。また、壊れたことが分かるかどうかも大切です。壊れたことが分かる場合は、機械を止めたりして対処できます。これを検出側と言います。壊れたことが分からない場合は、そのまま使い続けてしまう危険があります。これを非検出側と言います。

一番危険なのは、危険側故障で非検出側の場合です。この場合は、モノが壊れているのに気づかずに使ってしまう可能性が高いからです。

IEC 61508-4 (電気・電子・プログラマブル電子安全関連系の機能安全−第4部: 用語の定義及び略語)では「検出された」「検出されない」を定義しています。

検出された (detected)

ハードウェアに関して，診断テスト，プルーフテスト，操作員の介入（物理的な検査，手動テストなど）又は通常の運転から当該事項が見つかり，明らかになる。

注記 診断テストによって検出された危険側故障は現れた故障であり，自動又は手動にかかわらず有効な措置をとる場合，安全側故障とみなすことができる。

検出されない (undetected)

ハードウェアに関して，診断テスト，プルーフテスト，操作員の介入（物理的な検査，手動テストなど）又は通常の運転から当該事項が見つけ出せず，明らかにならない。

ヤバすぎる　危険側故障　非検出

この文章は、危険側故障非検出という概念を説明するために、車のブレーキの例を使っています。危険側故障・非検出とは、システムが安全でない状態にあるのに、その情報がユーザーに伝わらないことです。わかりやすくするために、次のように書き換えることができます。

例えば、車のブレーキが壊れていて止まれないのに、それに気づかずに運転してしまうことがあるかもしれません。これは、車のシステムや運転者のミスなどで、ブレーキランプや警告音などが正しく表示されないからです。この場合、運転者は危険な状態だと知らずに事故を起こす可能性が高くなります。このように、システムから危険な状態を知らせる情報がユーザーに届かないことを危険側故障・非検出と言います。

危険側故障検出側の能力を上げて安全側故障にもっていく

IEC 61508-4 は、電気・電子・プログラマブル電子安全関連系の機能安全に関する国際規格の一部で、用語の定義と説明を含んでいます。そこでは「診断テストによって検出された危険側故障は現れた故障であり、自動又は手動にかかわらず有効な措置をとる場合、安全側故障とみなすことができる」とあります。わかりやすくするために、次のように言い換えることができます。

システムやモノが危険な状態になる故障を見つけることができれば、その故障は現在起きているものだと考えられます。その場合、自動的にも手動でも何か対策をすれば、その故障は安全な状態になる故障だとみなせます。

逆に、システムやモノが危険な状態になる故障を見つけられなければ、その故障はまだ起きていないものだと考えられます。その場合、見つける能力が高くなれば高くなるほど、その故障は安全な状態になる確率が高くなります。

DC 自己診断率と DCavg 平均自己診断率

自己診断率 DC (Diagnostic Coverage) とは

ISO 13849-1 は自己診断率 DC (Diagnostic Coverage) という概念を用います。個々の部品（例えば SRP）にはDC を用い、SRP/CS 全体には平均自己診断率 DCavg を用います。DCavg はパフォーマンスレベル PL を決定し、カテゴリー2 以上のSRP/CS で必要です。カテゴリーの詳しい記事は下記をご参照ください。

ISO 13849-1 やIEC 61608-4 ではDC を定義しています。DC には色々な呼び方がありISO 13849-1 では「診断範囲」と呼び、IEC 61508-4 では「診断カバー率」と呼びます。この記事では「自己診断率」と呼ぶことにします。（どちらも同じ意味です）

診断範囲　DC (diagnostic coverage)

診断効果の尺度であり、検出される危険側故障率（分子）と全危険側故障率（分母）との比として決定することができる

DC 自己診断率は「検出される危険側故障率 \({\lambda}_{DD}\) と全危険側故障率\({\lambda}_{total}\) との比」より、安全機能の有効性の尺度として% で示します。

DC を式で表します。

$$ DC = \frac{\sum{\lambda}_{DD}}{\sum{\lambda}_{total}} $$

$${\lambda}_{DD}={危険側故障率} $$ $${\lambda}_{total} ={全危険側故障の故障率}$$

単純なシステムにおいては下記の式が成り立ちます。

$$ {\lambda}_{total} = {\lambda}_{DD}+{\lambda}_{DU} $$

---

JIS ハンドブック　72　機械安全（2022） [ 日本規格協会 ]
リスクアセスメント担当者や機械・電気回路設計者・EHS担当者にとって重要な規格が網羅されていて必携です。

MTTF 平均故障時間

あるモノが危険側故障と安全側故障ひっくるめて、ぶっ壊れることを考えます。ぶっ壊れるまでにかかった時間の平均値のことを平均故障時間と呼び、MTTF (Mean Time To Failure) と定義します。単位時間当たりの時間平均危険側故障頻度(PFH, average frequency of a dangerous failure per hour) \({\lambda}\) とすると

それぞれの危険側・安全側と検出側・非検出側の関係は下記が成り立ちます。

MTTF の単位は年で表します。MTTF が10 年という値があるときは、そのモノが壊れる時間の平均が63.2% の確率で10年を意味します。つまり、単位時間当たりに壊れてしまう、故障率\({\lambda}\) との関係は下記が成り立ちます。

DCavg 平均自己診断率

DC は単純なモノ、ある意味たったひとつのモノだけに焦点をあてていました。ところが、実際のSRP/CS では下記のようないろんなモノが複雑に組み合わさった回路になっています。

機械が壊れたり間違った動きをしたりしないようにする部分をSRP/CS と言います。SRP/CSは、いくつかの小さな部品に分かれています。それぞれの部品は、自分が壊れているかどうかをチェックできます。そのチェックできる能力をDC と言います。でも、それぞれの部品のDC だけでは、SRP/CS 全体がどれだけ安全かわからないことがあります。そこで、ISO 13849-1では、すべての部品のDC を足して割って出した平均値を使ってSRP/CS 全体がどれだけ安全か判断する方法を教えてくれます。その平均値をDCavg と言います。

DCavg は次の式で求めます。

DC 自己診断率の指定と範囲

DC 自己診断率の指定表示とは

ISO 13849-1 ではDC を4通りの区分で区切って「None」「Low」「Medium」「High」の4通りで指定します。

DC 指定範囲	DC 範囲
None なし	DC < 60 %
Low　低	60 % ≦ DC < 90 %
Medium　中	90 % ≦ DC <99 %
High　高	99 % ≦ DC

これらのDC 指定表示がPL (Performance Level) を決定する要素の一つです。複数の部品で構成されるSRP/CS ではDC の指定表示について下記の図を用いて最終的にPL を決定します。PL の決定はカテゴリー、MTTFd, DCavg, CCF で構成されます。

カテゴリー Cat 3 とカテゴリー Cat 4 違いは自己診断率DCavg のみです。

CCF (共通故障原因)の記事はこちらからご覧ください。

個々の部品のDC 自己診断率値

実際は個々の部品のDC 値の決定は曖昧です。安全部品メーカーがDC 値を直接提示していることも稀です。技術者がDC 値を決定する場合は、ISO 13849-1 付属書E の表を用います。

No.	方策 (入力　INPUT)	DC 値
1	入力信号の動的変化による周期的なテスト	90 %
2	妥当性の確認　機械的にリンクしたノーマルオープンとノーマルクローズの接点の使用など	99 %
3	動的テストを行わない入力のクロスモニタリング	0 %〜99 % アプリケーションによる。 信号のスイッチングの頻度に依存
4	短絡が検出できない場合、動的テストによる入力信号のクロスモニタリング（マルチI/O用）	90 %
5	入力信号とロジック内の中間結果をクロスモニタリング（L）、プログラムの流れを時間的・論理的にソフトウェアで監視し、静的障害や短絡を検出（マルチI/Oの場合）	99 %
6	間接モニタリング (例えば、圧力スイッチによるモニタリング、アクチュエータの電気的なポジションのモニタリング）	90 %〜99 % アプリケーションによる
7	直接モニタリング (例えば、制御バルブの電気的位置監視、機械的にリンクした接点要素による電気機械装置の監視）	99 %
8	プロセスによる故障検出	0 %〜99 % アプリケーションによる。 この方策だけでは、要求パフォーマンスレベル “e” に対しては不十分
9	センサのある種の特性監視（応答時間、アナログ信号の範囲、例えば電気抵抗、静電容量）	60 %

No.	方策 (論理　LOGIC)	DC 値
10	間接モニタリング （例えば、圧力スイッチによる監視、アクチュエータの電気的なポジションのモニタリング）	90 %〜99 % アプリケーションによる
11	直接モニタリング （例：制御弁の電気的なポジションのモニタリング、機械的にリンクされた接点要素による電気機械装置のモニタリングなど）	99 %
12	ロジックの簡単な時間モニタリング (ウォッチドッグとしてのタイマなど。トリガポイントはロジックのプログラム内にある。)	60 %
13	ウォッチドッグによるロジックの時間的・論理的なモニタリング。ロジックの動作の妥当性チェックをテスト装置が行う。	90 %
14	ウォッチドッグによるロジックの時間的、論理的なモニタリング (テスト機器がロジックの動作の妥当性チェックを行う)	90 % (test 手法よる）
15	スタートアップ時、安全機能が要求された時、または外部信号が要求された時に、メインチャンネルでモニタリングする装置の反応能力(ウォッチドッグなど)をチェックする(入力機能経由)	90 %
16	動的原理 (安全機能が要求されたとき、ロジックのすべてのコンポーネントがON-OFF-ONの状態に変化することが必要) 例えばリレーで実装されたインターロック回路など	99 %
24	プロセスによる故障検出	0 %〜99 % アプリケーションによる。 この方策だけでは、要求パフォーマンスレベル “e” には不十分。

No.	方策 (出力　OUTPUT)	DC 値
25	動的テストなしの単一チャネルによる出力のモニタリング	0 %〜99 % アプリケーションごとに、信号の切替頻度がどの程度頻繁に行われるかによる
26	動的テストなしの出力のクロスモニタリング	0 %〜99 % アプリケーションごとに、信号の切替頻度がどの程度頻繁に行われるかによる
27	回路短絡検出なしの動的テストによる出力のクロスモニタリング（マルチ I/O）	90 %
28	出力信号とロジック(L) 内の中間結果のクロスモニタリング、プログラムフローの一時的かつ論理的ソフトウェアのモニタリング、並びに静的故障と回路短絡の検出（マルチ I/O）	99 %
29	ロジックとテスト装置によるアクチュエータのモニタリングで遮断経路を冗長化	99 %
30	間接モニタリング （例えば、圧力スイッチによるモニタリング、アクチュエータの電気的なポジションのモニタリング）	90 %〜99 % アプリケーションによる
31	プロセスによる故障検出	0 %〜99 % アプリケーションによる。 この方策だけでは、要求パフォーマンスレベル “e” には不十分
32	直接モニタリング (例えば、制御バルブの電気的なポジションのモニタリング、機械的にリンクした接点要素による電気機械装置のモニタリング)	99 %

カテゴリー3 例題を用いてDCavg を決定しよう

この図にあるようなSRP/CS を考えてみましょう。このSRP/CS はカテゴリー3, PLr=d を満たせますか？青色の部品は一般的な部品で、黄色の部品は安全性が認められたSRP です。ここでは、安全コントローラーが持つ特別な機能は使っていません。

各部品のDC 値をISO 13849-1 付属書E から見積もる

部品メーカーはDC 値を教えてくれないことが多いです。DC 値は安全回路の設計に必要です。安全回路設計者はISO 13849-1 の付属書E にある表を見て、部品のDC 値を推測しなければなりません。カテゴリー3の例でやってみましょう。

実はDC 値の見積もりは、DC の値の範囲が0 %〜99 % など、選択される範囲が広い場合があり曖昧です。ISO 13849-1 付属書E の考え方にビシッと当てはまれば良いのですが、多くはDC 値の設定値は設計者の主観となる場合が多いようです。

DC 値決定の迷い

上記では、二つの考え方がありますが、どちらも正しいです。最近では、安全コントローラーは高度な技術を持っています。例えば、故障や短絡を見つける技術（テストパルスやEDM など）があります。安全コントローラーは定期的にチェックできるのに、それをしない場合は、「No. 27 動的テストで回路短絡を見つけられない（マルチ I/O）」という基準で90% の安全性しかありません。しかし、故障を見つける技術を使っていれば、99% の安全性があります。リスクを評価するときは、ミラーコンタクトリレーでも安全コントローラーにすぐフィードバックするだけでは、「No.32 機械的にリンクした接点要素による電気機械装置のモニタリング 99％ の安全性」と言うには早すぎると考えることができます。

DCavg を求めてみよう

上記で見積もったDC 値からSRP/CS 全体のDCavg を求めます。

ここではMTTFd はあらかじめ求めておいた数値を使います。前提条件を下記のように整理します。サブシステムごとにまとめておくと、計算しやすいかもしれません。

DCavg は下記の式から

以上より、DCavg は25.5 % と導くことができ、DCavg の範囲はNone (60 %< DC) がわかります。

このSRP/CS はカテゴリー3 の構成にはなっているかもしれませんが、結論としては未達です。

---

ここまでお読み下さいまして有難うございました。次回はMTTFd を実際に計算してみる編に進みます。