ISO13849-1:2023付属書F共通故障原因CCF(Common Cause Failure)を解説と過電圧(overvoltage)の解説

この記事では、CCFについてISO 13849-1:2023 第4 版をもとに解説しています。この記事に疑問や不明な点がある場合は英語で発行されている原文を参照してください。

CCF (Common Cause Failure) とは

共通故障原因　CCF (common cause failure)

故障一つ以上の事象の結果、多重チャンネルサブシステムの中の二つ以上の個別のチャンネルに同時に故障が生じ、安全機能の故障につながるもの
注 1: 共通原因故障は、コモンモード故障と同一ではない (ISO 12100:2010, 3.36 参照）
(出典) IEC 61508-4:2010, 3.6.10 を修正 – 「システム故障」を「安全機能の故障」に変更した。

CCF(共通故障原因) をわかりやすくいうと、「ある一つの原因で複数のチャンネルが同時に故障することで、安全機能が失われる可能性があるもの」と言えるかもしれません。

CCFに対する対策の効果の見積もり

サブシステムのすべての部分は、CCF について考慮されなければなりません。

ISO 13849-1 付属書F 表F.1 に示された対策は冗長チャンネルのCCF を回避または抑制するために有効性に応じて評価されます。工学的判断により、CCF の典型的な原因が合理的に可能な限り低減されます。CCF の計算は個々のサブシステム（入力・論理・出力など）ごとに異なるため、通常はサブシステムレベルで行われます。この付属書における冗長チャンネルとはカテゴリー2 の機能チャネル及び試験チャネル、またはカテゴリー3 及び4 の冗長機能チャンネルを指します。

サブシステム
制御システム(SRP/CS) の安全関連部分の第一レベルの分解から生じる実体で、その危険側故障により安全機能の危険側故障をもたらすもの。
注 1: サブシステムの仕様には、安全機能における役割及び SRP/CS の他のサブシステムとのインタフェースが含まれる
注 2: 例えば、同じコンタクタの組合せを使用して、危険区域に人がいることを検出した場合にモータの通電を停止し、安全ガードを開く場合にも使用することが可能である。

カテゴリーの詳しい説明は下記記事をご覧ください。

代表的なCCF の原因は過電圧・過圧・過電流・過温度・湿度・衝撃・振動・EMI・圧力媒体の不純物です。これらの原因の適切なレベルは予見可能な故障（例えば冷却ファンの故障）及び合理的に予見可能な誤使用を含むSRP/CS の予想される適用から推定されます。対策はSRP/CS の異なるカテゴリ（カテゴリ2・3・4）又は入力 INPUT/ 論理 LOGIC/ 出力部分 OUTPUT ごとに異なります。

No.	CCF に対する方策	得点
1	分離/ 隔離	15
2	多様性	20
3	設計/ 適用/ 経験	–
3.1	過電圧、過圧力、過電流、過熱などに対する保護	15
3.2	使用のコンポーネントは、十分吟味されている	5
4	評価・分析	5
5	トレーニング	5
6	環境	–
6.1	EMI や流体の不純物混入を防ぐ	25
6.2	他の影響	10
合計		最大100
65点以上		要求事項に適合
65点未満		要求事項に不適合 →　追加方策の選択

表F.1 における共通原因故障(CCF) に対する対策の説明

分離/ 隔離

冗長チャンネルを使用する場合、信号経路間で物理的な分離が必要です。以下の対策ポイントがあります:

• 配線の分離: 絶縁のある多芯ケーブルなど、適切な絶縁を持つ配線を使用
• 配線の分離: 隣接する配管の高圧による損傷を避ける対策
• 動的試験によるケーブルのショートや断線の検出
• 各チャネルの信号経路に個別のシールドを使用
• 別の基板やハウジング、キャビネット内の冗長なチャネルの配置
• プリント回路基板の冗長チャネル間には十分な距離を確保し、ハンダヒゲ（錫ヒゲ）も考慮する

a) 配線における分離 (例えば、導体間の適切な絶縁を伴う多導体ケーブル)
b) 配線における分離 (例えば、隣接する別の配管から放出される高圧による油圧配管の損傷を避ける)
c) 動的試験によるケーブルの短絡及び開回路の検出
d) 各チャネルの信号経路に対する個別のシールド
e) 別のプリント回路基板上、または別のハウジングもしくはキャビネット内の冗長チャンネル
f) プリント回路基板の冗長チャネル間の十分な空間距離と沿面距離、例えば、錫ヒゲも考慮に入れる

多様性

多様性を考慮するとき、例えば、以下のようなものがあります。

a) 異なる技術や設計の組み合わせ

• 例えば、1つのチャンネルが電子式またはプログラマブル電子式で、もう1つのチャンネルが電気機械式でハードワイヤード
• 各チャンネルは異なる条件（位置、圧力、温度など）で安全機能を開始
• 第1 チャンネルにはゴム製シール、第2 チャンネルには金属製シールのバルブ
• 可動式ガードの開放を検出するために2 つのポジションスイッチが使用され、1 つ目はガードが開放されたときに動作し、IEC 60947-5-1:2020 Annex K (低圧開閉装置及び制御装置) に準拠した直接回路動作機構の使用。2 つ目はガードが閉じたときに作動する、メイクコンタクト接点の使用

b) 異なるセンシング要素の組み合わせ

• 異なる測定原理（デジタルとアナログ）や物理原理（距離、圧力、温度など）を組み合わせたセンサーを使用

c) 異なるコンポーネントの使用

• 異なるメーカーのコンポーネントを組み合わせ

d) 異なる負荷の組み合わせ

• 例えば、一方のチャンネルでは接点とバルブが無負荷でスイッチングし、もう一方のチャンネルでは接点とバルブが負荷でスイッチング

a) 異なる技術や設計または物理的原理の使用
– 例えば、第1 チャンネルが電子式又はプログラマブル電子式で、第2 チャンネルが電気機械式でハードワイヤード
– 各チャンネルの安全機能の開始が異なる（例えば、位置、圧力、温度）
– 第1 チャンネルはゴム製シール、第2 チャンネルは金属製シールのバルブ
– 可動式ガード(安全ガード) の開放を検出するために2 つのポジションスイッチが使用され、1 つ目は安全ガードが開放されたときに運転となり、IEC 60947-5-1:2020 Annex K に準拠した直接回路動作機構のブレークコンタクト要素を使用し、2 つ目は安全ガードが閉鎖したときに作動しメイクコンタクト要素を使用
b) センシング要素は、異なる測定原理（例えば、デジタルとアナログ）又は物理原理（例えば、距離、圧力、温度）を採用
c) 異なるコンポーネント、例えば異なるメーカーのもの (ラベルの付け替えは不可）
d) 異なる負荷、例えば一方のチャネルの接点とバルブが無負荷でスイッチングし、第2 チャンネルの接点とバルブが負荷でスイッチングする。

設計/ 応用/ 経験

電気装置の保護と制御 – 過電圧、過圧、過電流、過温度の対策をまとめると、

a) SRP/CS の入力と出力、および制御の電源は、潜在的な過電圧や過電流から保護されなければならなりません。したがって、SRP/CS の部品は、過電圧や過電流に耐えるように作られているか、それらから保護されるようにします。

スイッチング電源を用いる場合は、適用される規格によって最大の過電圧レベルが決まります。例えば、単一の故障が発生した場合の最大電圧制限などが該当します。そのため、規格に基づいて過電圧のレベルや他の運転条件 (過電圧カテゴリー(OVC, Overvoltage Category)、動作温度など)を考慮することが重要です。

b) 過圧力に対する対策として、故障時の一次圧力が作動圧力の1.5 倍を超えない場合、単一チャンネルを使用することができます。これにより、予期せぬ圧力からの保護が行われます。ISO 4414 (空気圧− システム及びその機器の一般規則及び安全要求事項) では、圧力逃し弁などの保護装置の要件が定められています。

過電圧、過圧、過電流、過温度に対する保護又は制御の例:
a) SRP/CS の入力及び出力並びにロジックの電源は、潜在的な過電圧及び/又は過電流から保護される (IEC 60204-1 も参照)
注 SRP/CS の部品は、過電圧、過電流又はその両方の電位に耐えることができ、又はその電位から保護されている。SW モード PSU (スイッチモード電源, switch mode power supply) の可能な最大過電圧レベルは、適用される規格に依存する(例、単一故障状態 における最大電圧の制限)。
適用される規格のSW モードPSU による可能な最大過電圧レベル、および他の運転条件(例、過電圧カテゴリー、動作温度)を考慮することが重要である。
b) 過圧対策は、故障時の一次圧力が、作動圧力に1.5 を乗じた値を超えることがない場合、シングルチャンネルシステムとすることができる。ISO 4414 は、意図しない圧力からの保護 (例、圧力逃し弁) の要件を定義している。
十分吟味された部品のみが使用されること。

十分吟味された部品についての解説は下記記事をご覧ください。

評価/ 分析

SRP/CS の各部分について、CCF の潜在的な原因を特定するために故障モード影響解析(FTA) が実施され、その結果は設計においてCCF を回避するために考慮されること。

トレーニング

 設計者は、CCF の原因と結果を理解するためのトレーニングを受けていること。(トレーニング証明書などのトレーニング文書がある)。

環境　圧力媒体のEMI又は不純物の防止

電気や電子システムにおいて、CCF からの保護や電磁妨害の防止には、適切なEMI テストの規格（例、IEC 61326-3-1, IEC 61000-6-7:2014, IEC 61000-1-2:2016, IEC 61800-5-2 など）に従う必要があります。

これらのEMI 規格は、通常の規格部品（例、一般的なPLC）が満たすよりも厳しい要件があります。詳細は、IEC 61800-3 (可変速駆動システム (PDS)−電磁両立性 (EMC) 要求事項及び試験方法) を参照してください。

流体システム

流体システムでは、圧力媒体の清浄度に関する要求事項 (ISO 8573-1 (圧縮空気−第1部: 汚染物質及び清浄等級) を参照）に従って、圧力媒体のろ過、汚れの吸入防止、圧縮空気の排出などが行われます。また、流体と電気システムを組み合わせる場合は、両方の側面を考慮する必要があります。

その他の影響

SRP/CS は、安全関連のアプリケーションに要求される高い信頼性を確保するため、温度、衝撃、機械的応力、振動、湿度など、関連する環境の影響に対して免疫性を持つ必要があります。これは、IEC 60068 シリーズ (環境試験方法) などの関連規格で規定されています。

SRP/CS は、安全関連アプリケーションに対する要求の高まりを考慮し、IEC 60068 シリーズなどの関連規格に規定された温度、衝撃、機械的応力、振動、湿度などのあらゆる関連環境影響に対して免疫がある。

共通原因故障(CCF) に対する対策及びその他の関連規格

SRP/CS (サブシステム) では、表F.1 に示されるCCF に対する対策をすべて実施しても、必ずしもCCFの影響を完全に低減できるわけではありません。なぜなら、これらのSRP/CS が提供できる潜在的なリスク低減は、システム自体の能力（たとえば、センサの検出原理など）にも制約されているからです。

なお、関連するいくつかの規格（例えば、人の存在を検出する保護機器の適用に関するIEC 62024-1 や保護ガードに関連するインターロック機器の選択および適用に関するISO 14119:2013など) には、システムの能力に関する制約が含まれていることがあります。

SRP/CSの設計者は、これらの規格で示されている対策を実施し、製造業者が提供する使用説明書に準拠する必要があります。

過電圧 (Overvoltage)

表F.1 の3.1 に過電圧に対する保護の要求があります。過電圧とはいったい何なのかを説明します。

過電圧 (overvoltage) とはIEC 60664-1:2007 (低圧系統内機器の絶縁協調− 第1部：基本原則，要求事項及び試験) を参照します。

IEC 60664-1 では、低圧系統内機器の絶縁協調について規定しています。この規格は、定格周波数30 kHz 以下で交流1000 V以下又は直流1500 V以下の定格電圧で標高2000 m以下で使用する機器に適用します。 この規格は、性能基準に基づく機器の空間距離、沿面距離及び固体絶縁物のための要求事項を規定し、また、絶縁協調に関する電気的試験の方法を規定しています。

過電圧を説明する前に、いくつか重要な用語とその定義があります。

過電圧 (overvoltage)

正常動作状態で定常状態における最大電圧のピーク値を超えるピーク値をもつ任意の電圧

過電圧カテゴリー (overvoltage category, OVC)

過渡過電圧条件を定義する数字。過電圧カテゴリI, Ⅱ, Ⅲ, IV を用いる

絶縁協調 (insulation coordination)

なぜ、ISO 13849-1 付属書F, CCF (共通故障原因)の中の過電圧対策で絶縁協調が重要なのかというと、絶縁協調には機器の使用とその環境に適した電気的絶縁特性を選択することが含まれているからです。絶縁協調は、機器が予想される寿命の間に受けるであろうストレスを考慮して設計されます。

絶縁協調 (insulation coordination)
予想されるミクロ環境及びその他の影響を与えるストレスを考慮した電気機器の絶縁特性の相互関係のこと

絶縁協調は、電気機器が安全かつ信頼性の高い動作を維持するために不可欠です。適切な絶縁特性を選ぶことにより、電気的な故障や感電のリスクを軽減することができます。絶縁協調の実施は、電気機器の設計段階で行われます。これにより、機器が予想される寿命の間に予想されるストレスに耐えるために必要な十分な絶縁性を確保することができます。

絶縁協調は電気機器の安全性と信頼性を確保するために非常に重要な要素となります。適切な絶縁特性の選択によって、電気的な故障や感電のリスクを減らすことができます。絶縁協調は、機器が予測される寿命の間に予想されるストレスに耐えるために設計時に行われるものです。

電圧に関する絶縁協調

一般的に、電圧に関する絶縁協調では、以下の点に注意する必要があります。

• 系統内で発生しうる電圧: 電力供給系統内で発生しうる電圧変動に対して適切な絶縁性を確保する必要があります
  機器から発生する電圧: 電気機器自体から発生する電圧が他の機器に悪影響を及ぼす可能性があることも考慮しなければなりません
• 連続使用の予測: 機器が連続的に使用される予測される期間や条件に応じて、適切な絶縁性を確保する必要があります。
• 安全性確保: 電圧ストレスによって好ましくない事故が発生する可能性がある場合、それが人や財産に容認できない損害をもたらす危険がないように、絶縁協調を行う必要があります。

電力系統の変動や機器からの電圧発生による影響を予測し、連続使用条件や安全性を考慮しながら、適切な絶縁性を確保することが重要です。これによって、人や財産の安全性を確保しながら、電気機器の適切な動作を実現することができます。

過渡過電圧(transient overvoltage) に関する絶縁協調

過渡過電圧に関する絶縁協調は、過電圧の制御状態に基づいて行われます。以下の 2つの制御状態が存在します。

過渡過電圧 (transient overvoltage)
通常減衰が著しい振動性又は非振動性の、数ミリ秒以下の持続時間の短い過電圧

• 本質的制御状態: ある電力系統内で、予測される過渡過電圧を特定のレベルに制限することが期待される状態です。つまり、過渡過電圧の特性を考慮し、一定のレベル以下に制御することで、絶縁協調を実現します。
• 保護制御状態: 電力系統内に特別な過電圧減衰手段を設けることによって、予測される過渡過電圧を特定のレベルに制限することが期待される状態です。つまり、特別な過電圧減衰装置や保護装置を使用して、過渡過電圧を一定のレベル以下に制御します。

このように、過渡過電圧に関する絶縁協調では、本質的制御状態と保護制御状態の2 つの制御状態を考慮します。本質的制御状態では、予測される過渡過電圧を制限することで絶縁協調を実現し、保護制御状態では特別な過電圧減衰手段を使用して過渡過電圧を制御します。これによって、電力系統内の過渡過電圧が一定のレベル以下に制限され、絶縁協調が達成されます。

定格インパルス電圧

絶縁協調では、定格インパルス電圧という値を使用して過渡過電圧を評価します。定格インパルス電圧は、絶縁材料や絶縁構造の耐電圧性能を表す基準となります。

過渡過電圧は、予想される電力系統や環境の条件に応じて、定格インパルス電圧を決定するための基準として使用されます。定格インパルス電圧は、絶縁協調の設計や評価において重要な指標となります。

絶縁協調においては、過渡過電圧を定格インパルス電圧に基づいて考慮し、絶縁材料や絶縁構造の耐電圧性能を確保します。これによって、電力系統や環境の条件において予想される過渡過電圧に対して適切な絶縁性能を確保することができます。

定格インパルス電圧 (rated impulse voltage)
製造業者が機器又はその部分に定めたインパルス耐電圧値。この値は、その機器などの絶縁の過渡過電圧に対する耐電圧性能を表す。

過電圧カテゴリー (OVC, overvoltage category)

過電圧カテゴリーとは、低圧系統電源から直接給電される機器に適用される概念です。過電圧カテゴリーの分類は、物理的な過渡過電圧の減衰という意味よりも、確率的な意味を持っています。

過電圧カテゴリーは、電力系統内での設備から負荷側にかけて発生する過渡過電圧が起こる確率に基づいて分類されます。カテゴリーの数値が高いほど、過渡過電圧が発生する確率が高くなります。

このカテゴリー分類は、低圧系統電源から直接給電される機器の保護や絶縁性能の評価に役立ちます。過電圧カテゴリーを考慮することで、機器が予想される過渡過電圧に対して適切な保護や絶縁措置を講じることができます。

低圧系統電源から直接給電される機器

過電圧カテゴリー Ⅳ

過電圧カテゴリー Ⅳ の機器は，設備の引込口部で使用する

このような機器の例として、電力量計や一次過電流保護装置がある

過電圧カテゴリー Ⅲ

過電圧カテゴリー Ⅲ の機器は、固定設備中の機器であり、その信頼性及び有用性が特別な要求として求められる場合がある

このような機器の例として、固定設備中のスイッチや固定設備に恒久的に接続される産業用機器がある

過電圧カテゴリー Ⅱ

過電圧カテゴリー II の機器は、固定設備から供給されるエネルギーを消費する機器

このような機器の例として、家電機器、可搬形工具、その他の家庭用や類似の装置がある

過電圧カテゴリーⅠ

過電圧カテゴリー I の機器は、過渡過電圧を適切な低レベルに制限するための処置が講じられている回路に接続される機器

このような機器の例は、このレベルまで保護される電子回路をもつ機器である

機器に適用する定格インパルス電圧の選択

機器の定格インパルス電圧は、過電圧の程度を示すカテゴリーと機器の定格電圧に基づいて選択されます。具体的な選択方法は、表F.1 を参考にします。

給電系統の公称電圧			交流又は直流公称電圧から 配電される充電線の対地電圧	定格インパルス電圧
三相		単相		過電圧カテゴリ
				I	II	III	IV
			50	330	500	800	1500
			100	500	800	1500	2500
		100 100-200	150	800	1500	2500	4000
200	230/400		300	1500	2500	4000	6000
			600	2500	4000	6000	8000
			1000	4000	6000	8000	12000

なぜ定格インパルス電圧を考えないといけないの？

IEC 60664-1 は空間距離の規定値をインパルス耐電圧に耐えるように規定しています。低圧系統電源に直接接続する機器の場合、要求されるインパルス耐電圧は、表F.1 を基に規定する定格インパルス電圧と定められいます。

空間距離 (clearance) は、2つの導電部（例、電極、端子など）の間の最小距離を指します。つまり、導電部同士が直接接触しないようにするために確保する必要がある空間の距離です。この空間距離を保つことによって、電気的な絶縁が確保され、電気的な問題やショートなどを防ぐことができます。

空間距離は、例えば基板に絶縁システムがある場合、基板上の絶縁部分の間の最短距離のことで、基礎絶縁 (BI, basic insulation) や強化絶縁 (RI, reinforced insulation) などの種類によって異なります。過電圧カテゴリーとは、機器が接続される給電系統の過電圧の大きさを表すもので、IV からI まであります。定格インパルス電圧とは、機器が耐えられる最大のインパルス電圧のことです。これらの値によって、空間距離の規定値が決まります。過電圧カテゴリーが高くなるほど、空間距離も大きくなります。これは、過電圧による絶縁破壊を防ぐためです。空間距離が大きくなると、基板のサイズも大きくなります。

空間距離 (clearance) 
2導電部間の空間における最小の距離。

過電圧カテゴリーは、絶縁システムがあるもに影響します。例えば、絶縁トランス、サーボドライバーやインバータードライバー、スイッチング電源、ブレーカーなどが該当します。

過電圧の対策　本質的制御　保護制御

電圧カテゴリーを下げるためには、「本質的制御」と「保護制御」という2つの対策があります。

「本質的制御」とは、ある電力系統内において、予想される過渡過電圧を一定のレベルに制限することが期待できる状態を意味します。この対策では、過電圧の発生確率やレベルなどを統計的な手法で評価し、確率論的な分析を行います。具体的には、電源系統の状態や雷の発生確率、過渡過電圧のレベルなどを考慮します。

ただし、実際には「本質的制御」だけで過電圧対策を完全に実現することは難しい場合もあります。そのため、一般には「保護制御」という方法が採用されることが多いです。

「保護制御」では、特別な過電圧減衰手段を電力系統に設けることで、予想される過渡過電圧を一定のレベルに制限することが期待できる状態を作ります。この方法は、本質的制御の難しさをカバーするために用いられます。

「保護制御」とは、特別な過電圧減衰手段を設けることで、予想される過渡過電圧を一定のレベルに制限する状態を指します。この対策では、エネルギーの蓄積や消散の手段を持つ装置を使用します。具体的な条件下で、予想される過電圧エネルギーを害を及ぼさずに効果的に消散させることが目標です。

例えば、過電圧保護装置、絶縁変圧器、配電系統に多くの分岐回路がある場合は、サージエネルギーを分岐することができます。

サージエネルギーを吸収する役割を果たるような、抵抗器や他の減衰装置などは、エネルギーを消散することができます。

過電圧の保護制御

過電圧の対策には「保護制御」手段が有効です。規格では、過電圧の対策のために2つの例を示しています。

IEC 60664-1:2007 (低圧系統内機器の絶縁協調 − 第1 部: 基本原則，要求事項及び試験)

4.3.3.6 インタフェース要求事項
機器は，適切な過電圧の低減が行われる場合は，より高い過電圧カテゴリの条件下で使用することができる。過電圧の減衰は，次の方法で達成することができる。

− 過電圧保護装置
− 絶縁変圧器
− 多くの分岐回路（サージエネルギーを分路することができる。）をもつ配電系統
− サージエネルギーを吸収することができるキャパシタンス
− サージエネルギーを消散させることができる抵抗又は同種の減衰装置

IEC 60364-4-44:2011 (低圧電気設備−第4-44 部: 安全保護 − 妨害電圧及び電磁妨害に対する保護)

443.3.2.1外的影響の条件に基づく保護過電圧抑制 

注記1 過電圧レベルは，設備の源点付近で架空電線（附属書B参照）又は建築設備のいずれかに設置するSPD によって抑制することができる。

実務では、IEC 60664-1:2007 ではIEC 60364-4-44:2011 443 項について、「この規格の用語”過電圧カテゴリー”は，IEC 60364-4-44:2013で用いられている”耐インパルスカテゴリー”と同義語である。」とあるので、読み替えます。

保護制御においては、絶縁トランスを使用する代わりに、一般的にはサージ抑制機器であるSPD (surge supersession device) を使用することが多いです。絶縁トランスを使用すると大型化してしまうため、敬遠されることがあります

---

ここまで、お読みくださいまして、ありがとうございました。

ISO 13849-1 でPL を求めることばかりに集中しすぎて、CCF (共通故障原因) が未達の事例が多いです。特に、CCF の中でも過電圧についてはIEC 60204-1 (機械類の安全性−機械の電気装置−第1部: 一般要求事項) でも重要な要求事項であるため、注意が必要です。例えば、「7 章 装置の保護 雷サージ及び開閉サージによる過電圧」にも要求があります。

皆様にとって、CCF の記事がお役にたてばうれしいです。