PLを求めてみよう！ISO 13849-1:2023に従った単一チャンネルの場合のPL計算手順の解説

PL(パフォーマンスレベル)とは

制御システムの安全性を評価するために、PL（パフォーマンスレベル）とPFH（危険側故障の平均頻度）という指標が用いられます。ここでは、PL とPFH の関係と意味について、わかりやすく解説します。

パフォーマンスレベル，PL（performance level）

予見可能な条件下で，安全機能を実行するための制御システムの安全関連部の能力を規定するために用いられる区分レベル。 

要求パフォーマンスレベル，PLr（required performance level） 

安全機能の各々に対し，要求されるリスク低減を達成するために適用されるパフォーマンスレベル。

PFH (average frequency of a dangerous failure per hour)

制御システム(SRP/CS) の安全関連部分が所定の安全機能を果たすために危険側故障を起こす平均頻度。

PLとPFHの関係とは？

PL とPFH は、制御システムの安全性を評価するための指標です。PL は、制御システムの安全関連部が危険な状態に陥らない確率を表す区分レベルで、a から e までの5段階に分類されます。PFH は、制御システムの安全関連部が危険側故障を起こす平均頻度で、非常に小さな数字で表されます。PL とPFH は密接な関係にあり、PFH をある閾値で区切ったものがPL になります。PL とPFH を求めるためには、制御システムの安全関連部を構成するサブシステムの特性を考慮する必要があります。

PLとは？

PL とは、予見可能な条件下で、安全機能を実行するための制御システムの安全関連部の能力を規定するために用いられる区分レベルです。PL は、a から e までの5段階に分類され、a が最も低く、e が最も高いレベルを示します。PL は、制御システムの安全関連部が、危険な状態に陥らない確率を表しています。

PFHとは？

PFH とは、制御システムの安全関連部分が所定の安全機能を果たすために危険側故障を起こす平均頻度です。PFH は、単位時間当たりに危険側故障が発生する確率を意味するパラメータで、機能安全の規格であるIEC 62061 (機械類の安全性−安全関連の電気・電子・ プログラマブル電子制御システムの機能安全) などで定義されています。PFH は非常に小さな数字のため、指数部と仮数部の組合せで表されています。

PLとPFHの関係とは？

PL とPFH は密接な関係にあります。わかりやすく言うと、PFH をある閾値で区切ったもの、それがPL です。つまり、PL はPFH のレベルを表す指標と言えます。PL とPFH の関係は、以下の表のようになっています。

この表からわかるように、PL が高いほど、PFH が小さくなります。つまり、制御システムの安全関連部が危険側故障を起こす確率が低くなります。逆に、PL が低いほど、PFH が大きくなります。つまり、制御システムの安全関連部が危険側故障を起こす確率が高くなります。

PL とPFH の求め方とは？

PL とPFH を求めるためには、制御システムの安全関連部を構成するサブシステムの特性を考慮する必要があります。サブシステムとは、入力部、論理部、出力部などのように、安全関連部を機能的に分割した部分です。サブシステムの特性としては、以下のようなものがあります。

カテゴリー　サブシステムの構造や故障診断の有無などを示す分類
MTTFd　危険側故障までの平均時間
DC　自己診断率
CCF　共通原因故障原因

これらの特性を用いて、サブシステムごとにPFH を求めることができます。PFH の求め方には、ISO 13849-1の附属書K に示された表やグラフを使う方法や、数式を使う方法があります。

安全関連部全体のPL は、すべてのサブシステムの危険側故障確率、すなわちPFH の総和によって評価します。安全関連部を構成するサブシステムごとに求めたPFH の値をすべて足し合わせ、その値によってPL を判定します。

PL を練習問題から導いてみよう

PLを求める方法

PLを求める方法には、ISO 13849-1 付属書K 表K.1 から求める方法と、簡易的に求める方法の2つがあります。ここでは、付属書K からもとめる方法を紹介します。この方法では、以下の手順に従います。

アーキテクチャーからブロック図を描いてみよう

以下のような図のモデルがあったとします。このときのISO 13849-1 に従ったアーキテクチャーは何でしょうか。

このモデルの条件として、特に重要なのは、安全スイッチと電磁接触器がよく吟味した部品(well-tried) であることです。これらの部品は十分な試験と検証を経ており、その信頼性は実証済みです。安全スイッチがON-OFF されるたびに、電磁接触器も同じタイミングでON-OFFします。この連携によって、システム全体が確実に動作し、安全性が確保されます。

この場合、基本のアーキテクチャーは下記のようになり、単一チャンネルということがわかります。(im = 相互接続手段)

しかしながら、前述のモデルを詳しく見てみると、Logic（制御）部品が単一のチャンネルに該当する要素が見当たりません。この点に着目して、ブロック図を描いてみると、以下のような構造が浮かび上がります。この段階で、カテゴリーB かカテゴリー1 かが明らかになります。重要なのは、単にカテゴリーを判断することではなく、ブロック図が正確に描けているかどうかです。

MTTFd を求めてみよう

ここで、上記のモデルの数値的条件を以下に提示します。

条件
安全スイッチ MTTFd = 50 年
電磁接触器 MTTFd = 20 年

MTTFd パーツカウント法

パーツカウント方法は各チャンネルの MTTFd を個別に推定するのに用います。そのチャネルの一部であるすべての単一部品のMTTFd 値がこの計算に使用されます。求めかたは下記に式を用います。

$$\displaystyle \frac{1}{MTTFd}=\displaystyle \sum_{i=0}^N \frac{1}{MTTFd_i}$$
$$=\displaystyle \sum_{j=1}^\tilde{ N } \frac{n_j}{MTTFd_j}$$

最初の和は、各構成要素について個別に計算したもので、2 番目の和は、同じ MTTFdj を持つ nj 個の同一構成要素すべてをグループ化した、等価で簡略化された式です。つまり、最初の式 (i) は各コンポーネントを個別に分割し、次の式 (j) は同一のMTTFdj をもつ nj 個のコンポーネントの全てが一緒にグループ化される場合を意味します。

例1　Input: MTTFd=30, Logic: MTTFd=40, Output: MTTFd=50 の場合
$$\displaystyle \frac{1}{MTTFdi}=\frac{1}{30}+\frac{1}{40}+\frac{1}{50}$$

例2　Input: MTTFd=30, Logic: MTTFd=30, Output: MTTFd=30 の場合
$$\displaystyle \frac{1}{MTTFdj}=\frac{3}{30}$$

つまり、上記のモデルの全体のMTTFd は以下のように求めます。

Input: MTTFd=50, Logic: MTTFd=なし, Output: MTTFd=20 となり
$$\displaystyle \frac{1}{MTTFd}=\frac{1}{50}+\frac{1}{20}$$
$$\displaystyle \frac{1}{MTTFd}=0.07$$
$$MTTFd=14.3$$

付属書K 表K.1 にあてはめる

PFH を求めるために付属書K 表K.1 を用います。上記の結果の MTTFd = 14.3 年はちょうど黄色いハイライトの閾値に入ることになります。

この結果、MTTFd = 14.3 年のとき、単一チャンネルの PFH 値は下記になります。

$$7.61 \times10^{-6} \ < PFH < 8.78 \times 10^{-6}$$

このことから、上記モデルのPL は b でカテゴリーBということが求められました。

PFH 加算法

前述の説明では、皆さんにPL 計算をシステム全体の総MTTFd 値から求める方法をご紹介しました。しかしながら、無理にパーツカウント法を使用しなくても、PLを求めることができます。具体的には、システム全体のPL はサブシステムのPFH の総和で求めることができます。この手法はPFH加算法と呼ばれています。つまり、より簡便で効果的な手法を選択することで、PLを的確に算出できます。

$$PFH=\displaystyle \sum PFH \ {subsystem}$$
$$={PFH_{input}}+{PFH_{logic}}+{PFH_{output}} $$

PFH 加算法を適用するためには、ますます具体的な手順に入っていきましょう。まず、各サブシステムのPFH を個別に求める必要があります。この際、付属書K の表K.1 が非常に役立ちます。表を使用する際に留意すべき点は、求める値が閾値の間にある場合、危険側の数値（値が大きい方）を優先的に採用することです。この細かな注意が、正確なPFH 値の把握につながります。

条件
安全スイッチ MTTFd = 50 年
電磁接触器 MTTFd = 20 年

この条件からいきなりサブシステムのPFH 値を計算で求めることもできます。PFHの定義を思い出してください。PFH は「単位時間あたりの危険側故障までの平均確率」でした。このことから、1年を365日、1日を24時間として計算します。

$$PFH=\frac{1}{{MTTFd}\times {year}\times{hour}}$$

上記の式を使うと、PFHを求めることができます。

安全スイッチ MTTFd = 50 年の場合
$$PFH=\frac{1}{{50}\times {365}\times{24}}=2.28\times 10^{-6}$$

電磁接触器 MTTFd = 20 年の場合
$$PFH=\frac{1}{{20}\times {365}\times{24}}=5.71\times 10^{-6}$$

上記の結果より、PFH 加算法を用いて、総PFH 値を求めます。

$$PFH=2.28\times 10^{-6} + 5.71\times 10^{-6}$$
$$=7.99\times 10^{-6}$$

この方法でも、求めたPFH は上記付属書K 表K.1 より、7.61 x 10^-6 < PFH < 8.78 x 10^-6 の閾値間に入るので、前述のパーツカウント法と同様に求められるPLは b でカテゴリーB ということがわかります。

注意

重要な注意点です。
PFH値をいきなり求める方法は、アーキテクチャが単一チャンネル、つまりカテゴリーB またはカテゴリー1 に制約されることに留意してください。アーキテクチャが冗長化される場合は、DC（自己診断率）、CCF（共通故障原因）、危険故障率 λ、プルーフ間隔 T などを考慮する必要があります。したがって、これらの要因を無視するこの方法は適切ではありません。冗長性を持つシステムでは、より複雑な計算が必要であり、慎重なアプローチが求められます。

---

今回は、ISO 13849-1:2023に基づいて、単一チャンネルの制御システムの安全性を評価するために必要なPL計算の方法とポイントをお伝えしました。冗長チャンネルの場合は、どのようにPLを計算するのでしょうか？次回は、その疑問にお答えするために、冗長チャンネルの場合のPL計算方法を紹介します。

また、IEC 62061 機能安全編では、冗長系チャンネルでPFH を計算する方法も解説します。ぜひ、お楽しみにしていてください。最後までお読みいただき、ありがとうございました