はじめに ― 「PL d出ました！」の前に
機能安全のご相談を受けていると、最初に出てくる資料はたいていSISTEMAのファイルです。「PL dになりました」「PFHはこの値です」と、計算結果を見せていただきます。
その気持ちはよくわかります。PL計算は数字で結果が出るので、「やった感」があります。客先や認証機関にも説明しやすい。私自身、SISTEMAにはずいぶんお世話になっています。
しかし、そこでこうお聞きすると、多くの場合会話が止まります。
「その安全機能は、何が起きたら、どの運転モードで、何秒以内に、どうなれば合格ですか？」
この問いに文章で答えたものが、今回のテーマ「SRS(Safety Requirements Specification:安全要求仕様)」です。ISO 13849-1は2023年版(第4版)でこのSRSの扱いを大きく強化しました。この記事では、SRSとは何か、なぜPL計算と同じくらい大事なのか、そして機械規則(EU 2023/1230)で求められる試験とどうつながるのかを、できるだけ平易にお話します。
ジュンイチロウSISTEMAでPL dが出たら、もう安全回路は完成ですよね？
中の人計算が合っていても、問題文を読み間違えていたら0点ですよ。その「問題文」にあたるのがSRSです。
SRSとは何か ― 安全機能の「注文書」
SRSを一言でいえば、安全機能ごとの「注文書」です。
ISO 13849-1:2023の定義(3.1.3)をかみくだくと、「安全関連の制御システムが満たすべき安全機能の要求を、機能の中身(何をするか) と 要求パフォーマンスレベル PLr(どれくらい確実にするか) の両方で書いた仕様書」です。
たとえば家を建てるときを想像してください。
- 「耐震等級3」は、どれだけ丈夫かを示す数字です。これがPLにあたります。
- しかし、「耐震等級3」だけでは家は建ちません。部屋はいくつか、玄関はどちら向きか、という「間取りと注文内容」が先に必要です。これがSRSです。
- 引き渡しのときには、注文通りにできているかを一つずつ確かめます。これが妥当性確認(バリデーション)と機能試験です。
注文書がなければ、完成した家が「注文通りかどうか」は誰にも判定できません。安全機能も同じです。SRSがなければ、PLをいくら計算しても「何に対して合格なのか」が決まらないのです。
規格もこの位置づけをはっきり書いています。5.2.1.1では、SRSは「安全関連部(SRP/CS)のすべての設計活動の基礎」であり、各安全機能の詳細を文書化しなければならない(shall)とされています。
ジュンイチロウSRSって、要するに回路図の説明書のことですか？
中の人いいえ、回路図より前に書くものです。「どう作るか」ではなく「何をしてほしいか」を書きます。だから、回路を知らない人でも読めるのが理想です。
2023年版でSRSはどう強化されたか
2023年版のまえがき(Foreword)には、主な変更点として「安全機能の仕様(箇条5の更新)」と「SRSの追加情報を示す附属書Mの新設」が挙げられています。また、規格全体が「制御システムの設計・開発の流れに沿うように」構成し直されました。その流れの入口に置かれているのがSRSです。
SRSに関わる主な箇所をまとめると次のとおりです。
| 箇所 | 内容(要旨) |
|---|---|
| 3.1.3 | SRSの定義。機能要求とPLrの両方を含む仕様 |
| 5.2.1.1 / 表3 | SRSはISO 12100のリスクアセスメントからISO 13849-1の設計への「受け渡し」。特に両者を別の人・別の会社が行う場合に重要 |
| 5.2.1.2 | SRSを作るために設計者が入手すべき情報(リスクアセスメント結果、運転モード、サイクルタイム、応答時間、非常時操作、保全作業、環境条件など) |
| 5.2.1.3 | 安全機能ごとにSRSに記載すべき13項目(a～m) |
| 5.2.2 | 安全関連停止、手動リセット、再起動、ミューティング、運転モード選択など、よく使う安全機能への追加要求 |
| 5.4 | 設計を始める前に、SRSをリスクアセスメントと照らし合わせてレビューする |
| 10.2 | SRSそのものの妥当性確認(漏れ・誤り・矛盾がないか) |
| 10.1.5 a) | 妥当性確認に必要な文書の筆頭がSRS |
| 附属書M(参考) | 典型的な安全機能と、参照すべき関連規格(IEC 60204-1、ISO 13855、ISO 14119、ISO 13850など)の対応表 |
ここで注目していただきたいのは5.4と10.2です。SRSは「書けば終わり」ではなく、SRS自体もレビューと妥当性確認の対象になっています。注文書が間違っていれば、注文通りに作っても危険な機械ができてしまうからです。
ジュンイチロウSRSまでチェックされるんですか？
中の人注文書が間違っていたら、注文通りに建てても欠陥住宅になりますからね。設計を始める前に、リスクアセスメントと突き合わせて確認します。
SRSに書くこと ― 13項目をかみくだく
5.2.1.3では、安全機能ごとに次の情報をSRSに書くことが求められています。右列は「安全柵のドアを開けたら機械が止まる(インターロック)」という身近な例です。
| 項目 | ひとことで言うと | インターロックでの記入例 |
|---|---|---|
| a) 名称・概要 | 何の機能か | 安全柵ドアのインターロック |
| b) きっかけ | 何が起きたら動くか | ドアが開いた |
| c) 反応 | どうやって安全な状態にするか | 全軸をSTO(トルク除去)で停止 |
| d) PLr | どれくらい確実に | PLr d |
| e) 応答時間 | 何秒以内に安全になるか | 停止までの全体時間(反応時間＋停止時間)。ISO 13855の安全距離とつながる |
| f) 運転モード | いつ有効か | 自動運転・手動運転の両方 |
| g) インターフェース | 他の制御や安全機能とのつながり | 通常PLCへの状態通知、非常停止との関係 |
| h) 故障時の処置 | 片方の回路が壊れたらどうするか | 故障を検出したら停止し、修理まで再起動させない |
| i) 停電時の挙動 | 電源が切れたらどうなるか | 垂直軸はブレーキで保持し落下させない |
| j) 作動頻度 | どれくらいの頻度で使われるか | 1日約50回(B10DからMTTFDを求めるときの前提) |
| k) 優先順位 | 同時に動いたときどちらが勝つか | 非常停止がすべてに優先 |
| l) C規格の要求 | 製品規格の個別要求 | 該当するC規格があればその要求を記載 |
| m) 再起動の条件 | どうすれば動かせるか | ドアを閉め、柵の外にあるリセットボタンを押した後、別の起動操作で再開 |
表を眺めると気づくことがあります。SISTEMAで扱うのは、ほぼd)とj)だけです。残りの11項目は、計算ではなく「決めて、書いて、確かめる」ことでしか満たせません。
また、j)の作動頻度はSISTEMAに入力する前提条件そのものです。SRSに根拠のある数字が書かれていなければ、PLの計算結果そのものの信頼性が揺らぎます。
ジュンイチロウ13項目のうち、SISTEMAで埋まるのはほぼ2つだけ……？
中の人そうなんです。残りは、機械を見て、使う人の話を聞いて、決めるしかありません。一番時間がかかって、一番大事なところです。
体験談 ― 「うちはISO 14119はやりません」
以前、あるお客様からSRSのご相談を受けたときのことです。インターロック装置の規格はISO 14119:2024として改訂版が出ています。そこで私は、「ISO 14119の内容をSRSに入れたほうがよいですよ」と提案しました。
すると、なぜか強い口調で返ってきたのがこの一言です。
うちはISO 14119はやりません。昔からやっていません ヽ(`Д´)ﾉ
ところが実際の機械を見ると、よくあるトング式(差し込み式)のインターロックスイッチがたくさん使われていました。扉側に取り付けた金属の舌(トング)をスイッチに差し込むタイプで、ISO 14119でいう「タイプ2」のインターロック装置です。
タイプ2は便利で安価な反面、予備のトングを差し込んだままにすると、扉が開いていても機械が動いてしまいます。このような 無効化 (バイパス) への対策をどうするかは、まさにISO 14119の中心テーマです。つまり、ISO 14119の対象となる機器を使っている時点で、「やらない」という選択肢は実際にはないのです。
ISO 13849-1:2023もこの点を押さえています。5.2.1.2 e)では、SRSを作るために必要な情報として「誤操作や無効化を最小限にするための人間工学的側面」を挙げています。附属書Mでも、安全関連停止機能の関連規格としてISO 14119が挙げられています。
SRSを書くということは、「自分たちが使っている部品が、どの規格の要求を引き連れてくるか」を棚卸しすることでもあります。昔からのやり方を続けること自体は悪くありません。ただ、そのやり方が今の規格でも通用するかを確かめる場所が、SRSなのです。
ジュンイチロウ「昔からやっていない」は、理由にならないんですね。
中の人規格は「やる・やらない」を選ぶものではなく、使っている部品や機能についてくるものです。トング式スイッチを使うなら、無効化対策はSRSに入れておかないといけません。
正直に言うと、ISO 14119を外したままどうやってSRSを作ればいいのか、私にもわかりませんでした。都合の悪い規格を「見なかったこと」にしたSRSは、答えを先に決めてから問題文を書き換えるようなものだからです。
悩んだ末、そのお仕事は丁重にお断りしました。「SRSから一緒に作り直しましょう」という私の提案と、お客様が求めていたものは、どうしても重ならなかったのだと思います。
断るのには勇気がいりました。でも、ここで目をつぶって「OKです」と書いてしまえば、私も後半で触れる「SRSなしのOK文書」を出す側に回ってしまいます。安全の仕事で大切なのは、耳の痛いこともきちんと伝えること。そして、どうしても伝わらないときは、無理に引き受けないことだと思っています。
あのときの会話は、今でも私にとって大切な教訓です。いつか「やっぱりSRSから作ろう」と思ってくださる日が来たら、そのときは喜んでお手伝いするつもりです。
ジュンイチロウ断るのも、安全の仕事のうちなんですね。
中の人はい。「できません」を言えない人の「OK」は、信用できませんからね。
SRSと機能試験 ― 「答え合わせ」の答えがSRS
ISO 13849-1の箇条10「妥当性確認(Validation)」は、冒頭でその目的を「安全関連部が、箇条5・箇条7で作ったSRSを満たしていることを確認すること」(10.1.1)と定めています。つまり、妥当性確認とは「SRSという答えに対する答え合わせ」です。答えがなければ、採点はできません。
規格の中で、SRSと試験は次のように結びついています。
- 試験の前に試験計画を作る(10.4.1)。
計画には試験仕様と「合格となる結果」を入れます。合格の基準は、SRSに書いた反応・応答時間・運転モードそのものです。 - 機能試験はすべての運転モードで行う(10.4.5 c)。
試験ケースは通常、仕様(SRS)から導き出します。さらに、停電と復電、誤操作などの異常な入力も確かめます(10.4.5 d)。 - カテゴリ2・3・4では故障をわざと入れて試す(10.1.1)。
いわゆる「フォールトインジェクション試験」です。故障時にどう振る舞うべきかは、SRSのh)に書いてあるはずです。 - 試験記録を残し、計画と照らし合わせる(10.4.1)。
記録には実施者、環境条件、手順と使用機器、日付、結果を含めます。時間や電気の測定は原則±5%以内の精度が求められます(10.4.2)。 - できれば設計者とは別の人が行う(10.1.1)。
「独立した人」とは設計に関わっていない人のことで、必ずしも第三者機関である必要はありません。
SRSがあいまいだと、試験は「ドアを開けたら止まった、OK」で終わってしまいます。SRSがあれば「手動モードでも止まるか」「指定の時間内に止まるか」「ドアを閉めただけで動き出さないか」「配線を片方外したら再起動できなくなるか」と、試験項目が自然に決まります。
SRSの質が、そのまま機能試験の質になるのです。下の図は、その流れをまとめたものです。
SRSは設計と試験計画の両方に渡り、試験の記録がそのまま技術文書の中身になります。
ジュンイチロウ機能試験って、ドアを開けて止まればOKじゃないんですか？
中の人それは試験の1行目です。手動モードでは？何秒で止まる？配線が片方切れていたら？SRSに書いた分だけ、試験項目が増えます。逆に言えば、SRSに書いていないことは誰も試験しません。
機械規則(EU) 2023/1230との関係 ― 試験は「やった」ではなく「示す」もの
2027年1月20日から適用される機械規則でも、この考え方はそのままつながっています。
必須安全衛生要求 (附属書III 1.2.1 制御システムの安全性と信頼性)
ここでは、制御システムが危険な状況を生じさせないよう設計することが求められています。通常の運転で受ける負荷や外部の影響(合理的に予見可能な悪意ある攻撃を含む)に耐えること。ハードウェアやロジックの故障、制御ロジックの誤り、予見できる人のミスが危険につながらないこと。
これらは、まさにSRSのh)故障時の処置、i)停電時の挙動、m)再起動の条件などで「具体的にどうするか」を決める内容です。
技術文書 (附属書IV Part A) には、主に次のものを含めることが求められています。
- 必須安全衛生要求への適合を確認するために行った設計計算、試験、検査の報告書・結果
- 部品や機械が安全に組み立て・使用開始できるかを確かめた調査・試験の結果
- 量産品の場合、適合状態を維持するための社内の仕組み
ここで大事なのは、試験は「やった」だけでは不十分で、「何を基準に、どう確かめて、どうなったか」を文書で示せることだという点です。SISTEMAの計算書は「設計計算」にあたります。しかし、それだけでは「実物の機械で安全機能が正しく動く」ことの証拠にはなりません。
ISO 13849-1は、この「示し方」を具体化した規格だと考えるとわかりやすいと思います。
| 機械規則が求めるもの | ISO 13849-1:2023での具体化 |
|---|---|
| 制御システムが危険を生じさせないこと(附属書III 1.2.1) | SRSで安全機能ごとに振る舞いとPLrを定める(5.2) |
| 設計計算の報告(附属書IV) | PL・PFH・MTTFD・DCavg・CCFの算定(SISTEMAなど) |
| 試験・検査の報告と結果(附属書IV) | 試験計画、機能試験、故障注入試験、試験記録(10.4、10.5) |
| 適合していることの確認 | 妥当性確認の記録(10.8) |
つまり、SRSを出発点にして「SRS → 設計・PL計算 → 試験計画 → 機能試験 → 記録」と一本の糸でつながっていれば、それがそのまま機械規則の技術文書の中身になります。逆に、この糸が途切れていると、認証機関の審査や市場監視当局からの問い合わせで説明に詰まります。
IEC 60204-1 18項の機能試験 ― メーカーもユーザーも試験する
機能試験は、ISO 13849-1だけの話ではありません。機械の電気装置の規格 IEC 60204-1 (EN 60204-1) にも、はっきり書かれています。
メーカーが出荷前に行う「電気試験」の一部として
IEC 60204-1の箇条18「検証(Verification)」は、保護ボンディングの導通、故障ループインピーダンス、絶縁抵抗、耐電圧、残留電圧といった電気試験を定めています。その中に 18.6 機能試験 があり、電気装置の機能、特に安全に関わる回路の機能を試験することが求められています。改造や修理をしたときは、その部分の再試験も必要です(18.7)。
つまり、「絶縁抵抗を測った、導通もOK」で電気試験が終わるわけではありません。非常停止、インターロック、リセットなどが意図どおり動くかを確かめて初めて、電気試験は完了です。そして、その「意図」を書いたものがSRSです。
ユーザーが定期的に行う「機能試験」のために
安全機能は、出荷した日に正しく動けば終わりではありません。スイッチは摩耗し、配線は傷み、設定は変えられます。だから、機械を使うユーザー自身が機能試験をできなければなりません。そのための情報を渡すのは、メーカーの義務です。
| 根拠 | メーカーがユーザーに渡すもの |
|---|---|
| IEC 60204-1 17.2 f) | 保守情報として、機能試験の頻度と方法 |
| ISO 13849-1:2023 13.3 | 安全機能の試験に関する情報、安全機能の点検の内容と頻度。修理や改造の後は、機能試験を含む再妥当性確認が必要 |
| 機械規則 附属書III 1.7.4.2 | 取扱説明書に、ユーザーが行う調整・保守作業の説明 |
さらにEUでは、機械を使う事業者の側にも、作業設備を定期的に点検する義務があります(作業設備使用指令 2009/104/EC)。ユーザーは、メーカーから受け取った手順書がなければ、その点検ができません。
ここでもSRSが出発点になります。ユーザー向けの機能試験手順書は、SRSを「現場で確かめられる手順」に翻訳したものだからです。「このドアを開けたら、この時間内に、こう止まれば正常」という合否の基準は、SRSになければ書けません。
まとめると、SRSは次の3つの試験すべての「答え」になります。
- 設計段階の妥当性確認(ISO 13849-1 箇条10)
- 出荷前の電気試験における機能試験(IEC 60204-1 18.6)
- ユーザーによる定期的な機能試験(取扱説明書・手順書)
ジュンイチロウ機能試験は、メーカーが出荷前に1回やればいいと思っていました。
中の人出荷前の試験はスタートです。機械が使われている間、ユーザーが同じ試験を繰り返せるようにする。その手順書を作るのもメーカーの仕事です。SRSがあれば、その手順書は自然に書けますよ
現場でよく見る「SRS不在」のパターン
審査やコンサルティングの現場でよく出会う、SRSがない(または薄い)ことで起きる問題をいくつか紹介します。
- PLは足りているのに、止まるのが遅い。
PL dの回路でも、停止時間が安全距離の前提より長ければ、手は危険箇所に届いてしまいます。応答時間(e)がSRSに書かれていないと、誰も測りません。 - 自動モードしか試していない。
実際に人が危険箇所に近づくのは、段取りやトラブル対応のような手動モードのときです。運転モード(f)が決まっていないと、試験から抜け落ちます。 - ドアを閉めただけで動き出す。
リセットと再起動の条件(m)を決めていないため、通常の制御側の都合で動作が決まっています。 - 停電したら軸が落ちる。
停電時の挙動(i)が検討されておらず、「電源があるときの安全機能」しか設計されていません。 - SISTEMAの入力値に根拠がない。
作動頻度(j)を「とりあえずこの値」で入れており、実際のサイクルタイムと合っていません。その結果、MTTFDもPLも実態とずれます。 - リスクアセスメントと制御設計が別の会社。
機械メーカーがリスクアセスメントを行い、制御盤メーカーが回路を設計する場合、SRSがなければ「何を作ればよいか」が口頭でしか伝わりません。規格が5.2.1.1で「特に別の人や組織が行う場合」とわざわざ書いているのはこのためです。
どれも、PL計算をいくら丁寧にしても防げない問題です。PLは「どれだけ壊れにくいか」を示しますが、「正しいことをしているか」は示しません。それを決めるのがSRSで、確かめるのが機能試験です。
SRSなしの「OK文書」に注意 ― 楽な道は遠回り
残念ながら、SRSに一切触れないまま、「機械指令に適合しています」「機械規則対応はOKです」という文書を出している、いわゆる「エセコンサル」の成果物をよく目にします。中身を見ると、SISTEMAの計算書とチェックリストはあっても、安全機能ごとの仕様も、それに基づく試験記録もありません。
私は、それは違うと思います。ここまで見てきたとおり、ISO 13849-1:2023ではSRSが設計の基礎であり(5.2.1.1)、妥当性確認に必要な文書の筆頭もSRSです(10.1.5 a)。SRSがなければ、そもそも「何に対してOKなのか」が説明できません。
第三者認証機関の審査では、ここをきちんとチェックします。安全機能の仕様はどこにあるか、試験はその仕様に対して行われたか、を確かめます。そのときになってSRSを一から作り、試験をやり直すことになれば、時間も費用も余計にかかります。自己宣言で出荷した場合も、市場監視当局から技術文書を求められれば同じことが問われます。
楽な道は、結局遠回りです。最初にSRSを書く手間を惜しまないことが、いちばんの近道だと思います。
ジュンイチロウ「OKです」って書いてある文書があれば、安心だと思っていました……。
中の人大事なのは「OK」の一言ではなく、「何を基準に、どう確かめたか」です。その基準が書いていないOK文書は、答え合わせをしていない「満点」と同じです。審査の場では通用しませんよ。
まとめ ― SISTEMAを開く前に、SRSを作成する
- SRSは安全機能ごとの「注文書」です。ISO 13849-1:2023では、すべての設計活動の基礎と位置づけられています。
- 安全機能ごとに13項目を書きます。PL計算に直接関わるのはその一部にすぎません。
- SRSは設計前にレビューし(5.4)、SRS自体も妥当性確認します(10.2)。
- 機能試験は「SRSに対する答え合わせ」です。試験計画、全運転モードでの試験、故障注入、記録までが一組です。
- 機械規則の技術文書には試験の報告と結果が必要です。SRSから試験記録までが一本の糸でつながっていれば、それがそのまま適合の証拠になります。
SISTEMAやPL計算は大切です。それを否定するつもりはありません。ただ、数字は「何を守るための数字なのか」が決まって初めて意味を持ちます。
次に安全回路を設計するときは、SISTEMAを開く前に、まずA4一枚でも構いませんので、安全機能ごとのSRSを書いてみてください。きっと、試験のやり方も、認証機関への説明の仕方も、ずっと楽になるはずです。