CRA・機械規則の関係性と機能安全の正しい進め方②：機能安全への対応

機能安全の具体例

図1

図1にて安全機能の具体例を示します。従来は、産業用ロボットの安全確保のために、物理的な柵を設置し、人とロボットの接触を防止していました。これに対し、機能安全を用いることで、

• ロボットの動作領域を監視し、設定された領域から出た場合、停止させる
• 人が危険領域に侵入しようとした場合に停止させる

といった制御によって、安全を確保することが可能となります。このような安全機能は、以下の構成で考えます。

• 入力(Input)：センサー(例：エンコーダー)
• 処理(Logic)：MCU
• 出力(Output)：アクチュエータ制御(例：STO)

機能安全の要求事項

機能安全においては、いくつかの重要な設計要求があります。まず、「安全機能が故障しても危険にならないこと」が基本要件です。さらに、安全機能は非安全機能の影響を受けないように設計する必要があります。この要求はハードウェアだけでなくソフトウェアにも適用されます。例えば、

• 非安全機能のソフトウェアが安全機能に影響を与えないこと
• マルチコアMCUの場合では、安全関連データが非安全機能から保護されること

が求められます。一方で、パラメータ設定については非安全機能からの入力を許容することもありますが、その場合でもISO 13849-1の要求に適合する必要があります。

また、パラメータ設定は安全状態で実施し、設定後には再起動などにより安全機能の正常性(診断機能により異常がないこと)を確認した上で運用する必要があります。

システムブロック図の作成と分析

安全機能の設計では、システムブロック図の作成とその分析が重要な工程となります。まず、安全要求に基づいて安全機能の構成を検討し、要求される安全度に応じてアーキテクチャを決定します。その上で、機能レベルでのシステムブロック図(システムブロック図-1[健徳1.1])を作成します。この際、電源系も含めて構成を明確にする必要があります。

次に、このブロック図に対してSystem FMEAやFMEDAを実施し、危険側故障を特定します。その結果に基づき、各故障を検出するための診断機能を割り当てます。

診断機能を追加したものがシステムブロック図-2となります。この図は、機能安全の設計開発全体を通じて使用する重要な成果物です。

なお、各機能ブロックや診断機能には、トレーサビリティ確保のために識別番号を付与することが望まれます。

※システムブロック図-1 ：緑-機能レベルでのシステムブロック図
※システムブロック図-2：紫-診断機能を追加したシステムブロック図

例えば産業用ロボットの領域監視では、PL=d、カテゴリー3の構成とし、MCUにはウォッチドッグタイマ(WDT)、出力にはSTOフィードバックなどの診断機能を追加します。WDTはMCUを介さずに安全出力を制御するように設計し、STOのフィードバックはクロス監視とすることで安全度を向上させます。

診断機能

診断機能は、機能安全における中核的な要素です。

IEC 61508-2のAnnex Aに記載されている診断機能を使用する場合、規格で定義された診断率を適用することが可能です。一方、規格にない独自の診断機能を使用する場合は、その内容および診断率を算出し、設計書に明記する必要があります。また、第三者認証を受ける場合は、認証機関への説明と合意が必要となります。

特にMCUやFPGAは故障率が高いため、診断率90%以上の診断機能を選定することが望まれます。これにより、最終的な安全機能の故障率(PFHdやMTTFd)や診断カバレッジ(SFFやDCavg)の要求を満たしやすくなります。

診断機能を設計する際は、以下の点に注意が必要です。

• 安全機能に影響を与えないように実装する
• 診断機能自体が故障しても危険にならないようにする
• 複数の危険側故障を効率よく検出できる構成とする

また、MCUベンダーが提供する診断ライブラリは有効に活用することが推奨されます。

さらに、System FMEAやFMEDAで割り当てた診断機能については、トレーサビリティ確保のため識別番号を付与し、安全要求仕様書(SRS)に記載することが望まれます。