第15話：IEC61508 2010年度版における安全度水準（SIL）の考え方について

第15話：IEC61508 2010年度版における安全度水準（SIL）の
考え方について

電磁弁のお話第7話：安全計装システム(SIS)対応電磁弁でも触れましたが、機能安全という考え方はIEC61508によって規格化されています。リスク分析による事故の回避、抑制という安全認識が世界に普及しつつある中で、2010年にはIEC61508第2版が発行され、ハードウェア構成上の制約条件等いくつかの項目で見直しが行われました。
ここでは電磁弁の安全度水準に係る安全側故障割合の算出方法見直しと選択肢2_Hの追加について説明します。

安全側故障割合(SFF)の算出

IEC61508は機能安全に関わる故障を決定論的原因故障（Systematic Failure）とランダムハードウェア故障（Random Hardware Failure）に分類していますが、IEC61508第2版では新たに無影響故障（no effect failure：安全機能の実行に役割を果たすが、安全機能に直接影響を与えない要素の故障）が定義され、安全側故障割合の計算に使用しないことが規格に明記されました。

第1版（2000年度版）ではコンポーネントの安全側故障割合を算出する際、この無影響故障を λ^Residualつまり故障率の残余部とみなし、以下のように計算されます。

第2版（2010年度版）に従った場合、上式にてSFFを算出する際に λ^Residualを含めないため、SFFの判定において公正さが増すことになります。その反面、計算結果は第1版に比べて必然的に小さくなるため、場合によってはハードウェア構成上の制約条件（表2）が厳しくなり、同じ冗長化構成で達成できるSILが下がるという可能性を含んでいます。一方、第2版では新たにSFFの判定を含まない制約条件である選択肢2_H（Route2_H）が導入されました。第3者機関による認証では、この選択肢が適用されることで改訂前後のSIL判定のギャップが回避されるようです。

安全側故障割合 SFF	ハードウェアフォールトトレランス
安全側故障割合 SFF	0	1	2
＜60％	SIL1	SIL2	SIL3
60％-＜90％	SIL2	SIL3	SIL4
90％-＜99％	SIL3	SIL4	SIL4
≧99％	SIL3	SIL4	SIL4

表2 ハードウェアフォールトトレランス（選択肢1_H）　　　　　　　　

選択肢2_H （Route 2_H）

IEC61508第2版ではハードウェア構成上の制約条件として新たに選択肢2_H（Route 2_H）が設けられました。選択肢1_H（Route 1_H）が安全側故障割合（SFF）とハードウェアフォールトトレランス（HFT）との組合せによるハードウェア構成上の制約条件であるのに対して、選択肢2Hはコンポーネントの信頼性データとHFTとを組合せた制約条件であり、SFFの判定は含まれません。（表3）

最高安全度水準 SIL	最小ハードウェアフォールトトレランス Minimum HFT
1	0
2	0
3	1
4	2

表3 ハードウェアフォールトトレランス（選択肢 2_H）

選択肢2_Hを適用する場合、IEC61508では使用実績による証明（proven in use）として、一定の出荷年数と稼働時間を要求しています。SIL3に相当する使用実績の判定要件としては2年の出荷実績と1000万（10⁷）ユニット時間の稼働実績が要求されます。この使用経験の中で生じた実際の故障による返却履歴から対象コンポーネントの信頼性を示し、それがFMEDAから得られる平均故障率の結果と比べて妥当な水準であることが求められます。
（FMEDA:故障モード影響診断解析。製品の故障モードを洗い出し、各故障が引き起こす機能的影響を安全側・危険側に分類し、さらにそれらを検出できるものとできないものに分類し集計する解析方法。）

日本アスコはエマソングループの一員としてエマソンの解析部門とFMEDAの解析リソースを共有できる環境にあり、過去に蓄積された解析データを活用して妥当性検証を行うなど電磁弁にとって最適な解析結果を供給する基盤を整えています。また、第三者機関による電磁弁のSIL3 Capable認証にも対応可能です。

安全計装(SIS)対応電磁弁、SIL認証取得電磁弁については、ぜひ日本アスコにご相談ください。