グループ安全規格　ISO13849-1

目次

1. リスクアセスメントプロセスにおけるISO13849-1の位置づ
2. 制御システムの安全関連部とは
3. パフォーマンスレベル（PL）とは
4. ISO13849-1における制御システムの安全関連部（SRP/CS）の設計プロセス
5. パフォーマンスレベルの評価手順
6. ISO13849-1によるパフォーマンスレベルの計算例
7. ISO/TR23849によるパフォーマンスレベルの計算例

安全に関する国際規格のグループ安全規格（タイプB規格）の中で最も重要な規格の１つとして、制御システムの安全関連部に関して規定したのがISO13849-1です。この規格は、リスク低減方策として制御システムを使用する場合に必要となる、システムの時間当たりの危険側故障確率（パフォーマンスレベル）について規定しています。

この規格は、電気・電子システムだけでなく油・空圧システムにも適用されます。そのため、機械製造業者、機械使用者やサービス提供業者、また、健康及び安全に関わる機関などで広く活用され、制御システムの安全関連部の設計・評価に関する重要な規格と位置づけられています。

1.リスクアセスメントプロセスにおけるISO13849-1の位置づけ

2. 制御システムの安全関連部とは

機械設備の制御システムは、「安全関連部」と「非安全関連部」に分類できます。

• 「制御システムの安全関連部」とは、「安全関連入力信号に応答し，安全関連出力信号を生成する制御システムの部分」と定義されます。例えば図2、図3に示す産業用ロボットシステムの場合、制御システムの安全関連部は以下のようになります。

・人が安全柵内から外へ出ており、扉が閉まっていて、安全スイッチで扉がロックされていることを伝える安全関連入力信号部

・非常停止用押ボタンスイッチが押されていない（異常が発生していない）ことを伝える安全関連入力信号部

・安全リレーモジュール（安全コントローラ）で、上記入力信号と安全状態を確認してロボットの起動を許可してよいと判断する安全関連論理部

・安全関連論理部の判断を受けて、安全コンタクタのオン／オフにより、実際にロボットを起動／停止させる安全関連出力信号部

• 「非安全関連部」とは、ロボットアームの動作スピード、位置決め、などを制御する部分に相当し、安全関連部がロボットを起動しても問題ないことが確認できている場合だけそれらの動作が可能となる部分です。
  規格（ISO13849-1）で規定しているのは、制御システムの「安全関連部」に関する部分です。（図3参照）

制御システムの安全関連部は、SRP/CSとも表現されます。SRP/CSは、「safety-related part of a control system」の略で、制御システムの安全関連部全体を指す場合のみならず、入力部・論理部・出力部を個別に指すときにも用いられます。（図4参照）

3. パフォーマンスレベル（PL）とは

パフォーマンスレベルは、「予見可能な条件下で、安全機能（※）を実行するための制御システムの安全関連部（SRP/CS）の能力を規定するために用いられる区分レベル」と定義され、PFH_Dで定義される「単位時間当たりでの危険側故障発生の発生平均確率」で区分されます。

表1のようにPL=aからPL=eの5段階に分類されており、PL=eが故障発生の確率が最も小さいレベルです。たとえばPL=aであれば、その機械が１時間稼働すると10万分の1回以上1万分の1回未満の割合で危険側故障が発生する可能性があることを示しています。 PLは、制御システムによる機械のリスク低減を達成する安全機能の指標です。

※安全機能：故障がリスクの増加に直ちにつながるような機械の機能（ISO13849-1）

パフォーマンスレベル（PL）は、カテゴリ（Cat）に基づくSRP/CSの回路構成が基本となりますが、それだけでなくそこに使用されるデバイスの信頼性を示す、危険側故障を発生するまでの時間であるMTTF_D（平均危険側故障時間）、とSRP/CSによるシステム内の危険側故障の検出率であるDC（診断範囲）、一つの故障原因から独立した複数の故障が引き起こされる共通原因故障（CCF）を考慮した設計をしているという4つの要素で決定されます。このことからPLは、図5のように表現できます。

4. ISO13849-1における制御システムの安全関連部（SRP/CS）の設計プロセス

機械を安全化する際には、ISO12100に従って、リスクアセスメントとリスク低減を実施します。
リスク低減を行う過程で制御システムを使用する場合、ISO13849-1を適用し図6の手順で、パフォーマンスレベルを使い妥当性を評価します。
その手順の詳細を次章で紹介します。

5. パフォーマンスレベルの評価手順

制御システムによってリスク低減を行う場合、パフォーマンスレベル（PL）の決定方法については、図7のとおりです。

5.1. 要求パフォーマンスレベル（PLr）の決定

図8のようにリスクグラフ法を用いて、PLr※を見積ります。

※PLr：要求パフォーマンスレベル（required performance level）
「安全機能の各々に対し、要求されるリスク低減を達成するために適用されるパフォーマンスレベル」

ISO13849-1は、SRP/CSの設計のための一般原則だけを取り扱うので、ISO12100に基づいて、安全柵など制御システム以外の保護方策は適切に実施されている前提です。その上で、リスク見積りの開始点は、構築する制御システムのいずれかに危険側故障が発生した場合を想定します。たとえば、安全柵の扉を開けても内部の危険源が停止しない、などです。この場合、

・Sは、危険側故障によってオペレータなどが危害を受ける場合、「S1（軽傷）」か「S2（重傷）」の選択を行います。
・Fは、Sで危害を受ける頻度が「まれ」か「頻繁」の選択を行います。
・Pは、危険源から回避できる可能性が「ある」か「ない」かの選択を行います。

その結果、選択されたa～eまでの1つが要求パフォーマンスレベル（PLr）となります。 図6のようにPLr = aは、構築する制御回路が受け持つリスク低減の度合が少なくてもよいことになります。一方、PLr = eが選択されると、構築する制御回路が受け持つリスク低減の度合は大きくなります。 なお、ここで決定したPLrに対して、実際に計算したPLの結果を比較して、SRP/CSが対象とする危険源のリスクに対し適切である可動かを判断します。

5.2. カテゴリの決定

カテゴリとは「障害に対する抵抗性（フォールト・レジスタンス），及び障害条件下におけるその後の挙動に対する制御システムの安全関連部の特性に関する分類であって，当該部の構造的配置，障害検出及び／又はこれらの信頼性によって達成される。」と定義されています。つまり、制御システムの安全関連部の回路構成を決定するに当たっての安全機能要求がカテゴリです。
カテゴリは「指定アーキテクチャ（designated architecture）」として規定され、後述のようにカテゴリB, 1, 2, 3, 4の5つに分類されます。

チャネルのMTTF_Dを計算した結果、3年未満の場合はMTTF_Dの範囲を満たしません。 各コンポーネントのMTTF_D値は、100年を超えることは許容されています。一方、各チャネルのMTTF_D値は、計算の結果100年を超えたとしても100年に制限されます。ただし、カテゴリ4の構成であれば、回路構成（冗長化）とDCの値が非常に高いことから、各チャネルの最大MTTF_Dは2500年まで許容されます。

5.3.1. 各デバイスのMTTF_D

各コンポーネントのMTTF_Dの数値は次の優先順位で決定します。 第一優先 製造者（メーカー）から提供されるMTTF_D値 第二優先 この規格の附属書CまたはDに記載の値 第三優先 附属書Cに値がなければ、MTTF_D＝10年とする。

5.3.1.1. コンポーネントのB_10DからMTTF_Dを計算する

安全関連部のすべてのコンポーネントにMTTF_Dの値が存在するとは限りません。メカニカル接点を持ったコンポーネント（コンタクタ、インタロックスイッチ）など、操作頻度（回数）が寿命に影響するものはMTTF_DではなくB_10D（注1）の値が提供されます。このB_10Dを元にn_op（注2）というパラメータを考慮して、コンポーネントのMTTF_D値を計算します。式（1）および式（2）参照）

注1 B_10D：危険側に故障するコンポーネントの数が全体の10%に達するまでの平均サイクル数（操作回数）
注2 n_op：年間の平均操作サイクル数（操作回数）で、これを計算するためには以下の情報が必要）h_op： コンポーネントの1日当たりの平均運転時間）
d_op： コンポーネントの年間の平均運転日数）
t cycle： コンポーネントの連続した２サイクルの開始と開始の間の平均時間
制御システムの安全関連部の設計者は、システムおよびそのコンポーネントがどの程度の頻度／回数で運転されるかを想定に基づきn_opを計算し、B_10Dを加味してMTTF_Dを計算します。なお、B_10Dの値もMTTF_Dと同様に、メーカーからの提示があれば優先して使用します。

5.3.2. チャネル全体のMTTF_D計算方法 パーツカウントメソッド

各デバイスのMTTF_D値を決定すると、それを元に各チャネルのMTTF_Dを次に計算します。（式（3）参照）

たとえば、MTTF_D1＝30年、MTTF_D2＝30年、MTTF_D3＝30年 とすれば、1/ MTTF_D＝1/30＋1/30＋1/30 となり、このチャネルのMTTF_Dは10年となります。

5.3.3. 異なるMTTF_Dを持つチャネルの場合のMTTF_Dの決定方法

カテゴリ3または4のような2チャネル構造の場合に全体のMTTF_Dは、以下のどちらかの手法で計算します。

• 最悪の場合を想定して、低い方のチャネルのMTTF_D値を全体のMTTF_D値とする。

• 式（4）を用いて、全体の計算を行う。

式（4）を使用した場合MTTF_D1＝3年、 MTTF_D2＝100年とすれば、全体のMTTF_Dは66年となります。
これは、両方のチャネルそれぞれをMTTF_D＝66年のチャネルと見なすことと同等の意味を持ちます。

5.4. DC（診断範囲）およびDC_avgの算出

パフォーマンスレベルを見積るためには、システム全体のDC_avg（平均診断範囲）を計算する必要があります。そのためには各コンポーネントのDC（診断範囲）を決定する必要があります。 DC（診断範囲）とは危険側故障をどの程度検出できるのかを％で示します。具体的には検出される危険側故障率（λ_DD）と、全危険側故障率（λ_total）の比率で表されます。（式（5） 参照）

なお、論理装置（安全コントローラなど）、セーフティライトカーテンなどの電気・電子デバイスはその装置の内部に自己診断機能を持っていますが、インタロックスイッチ、非常停止スイッチなど、機構コンポーネントは一般的に自己診断機能を持っていません。しかし、論理部との接続を冗長化し、信号の不一致などを論理部（安全コントローラなど）で監視することで、制御システムの安全関連部全体として高いDCを持つことができます。
各コンポーネントのDCの選択は、ISO13849-1 Annex Eから、入力装置、論理装置、出力装置に関して、それぞれ記述された診断技術に適合したものを選択することになります。
また、コンポーネントのDCが決まった後は、その値を利用して、システム全体のDC_avgを計算することになります。（式（6）参照）

なお、故障検出のないコンポーネント（診断されない部分）は、DC=0 です。

5.5. CCF（共通原因故障）の評価

CCF（common cause failure）とは、「単一の事象から生じる異なったアイテムの故障であって、これらの故障が互いの結果ではないもの」と定義されています。これは、単一の原因による故障の結果が、次の故障を誘発して複数の故障が発生することはなく、あくまで単一の原因によって複数の独立した故障が発生するという意味です。
たとえば、過電圧／異常周囲温度などが原因で、互いに関係のない回路の部品（複数）が故障することを指します。このような可能性のある事象に対して、システムがどのように対策を行っているのかを示す指標がCCFです。

CCFは、ISO13849-1 Annex F 表F.1の複数の設問に対して、Yes またはNoで回答し、100ポイント中、少なくとも65ポイントを獲得できる方策が実施されていれば、CCFの要求事項に適合していると見なします。（表5参照）
なお、表5に示されるCCCに対する方策の各項目について、部分的な対応では部分点は付与されず、該当する項目に対する点数は0（ゼロ）となります。
またこの設問に対する記入は、一般的に制御システムの安全関連部の設計者が記入します。

5.6. パフォーマンスレベル（PL）の評価

制御システムの安全関連部として要求されるPLrに対して、実際に設計された回路のカテゴリ、MTTF_DとDC_avg、CCF評価結果からISO13849-1 付属書K 表K.1からシステムのPLを算出し、そのPLがPLrと同じか、それ以上のレベルであることを確認します。PLr≦PLが確認されれば（危険側故障の平均発生確率が同等か小さければ）、リスク低減目標が達成されたことになります。

6. ISO13849-1:2015によるパフォーマンスレベルの計算例

非常停止用押ボタンスイッチ＋安全リレーモジュール＋安全コンタクタの場合

制御システムの安全関連部の製品例を図15に、回路図を図16に示します。

6-1. 動作および安全原則

（1）動作の順序

①非常停止用押ボタンスイッチを押す。安全リレーモジュールの出力がOFFになり、コンタクタ（K3、K4）の励磁が解けて、コンタクタの主接点（NO接点）がOFFとなり、モータ（危険源）を停止します。
②非常停止用押ボタンスイッチが押された状態で保持される（ラッチ機能）コンタクタの主接点はOFFを維持しモータの予期しない起動を防止します。
③非常停止用押ボタンスイッチをリセットする。リセット動作自体ではモータは起動しません。
④スタートスイッチを押す。モータが起動します。

6-2. 安全原則および条件

（1）非常停止用押ボタンスイッチは、IEC60947-5-5、IEC60947-5-1（附属書K）の適合品を使用します。
（2）安全リレーモジュールは、ISO13849-1のPL=eおよびカテゴリ４の適合品を使用します。
（3）コンタクタは、IEC60947-1（ミラーコンタクト付）の適合品を使用し、個別に2個配置します。
（4）コンタクタのミラーコンタクト（NC接点）は、安全リレーモジュールのバックチェック用回路に接続します

6-3. システムの稼働条件

（1）稼働時間・日数および頻度

・年間の平均稼働日数：365日とする。
・1日の平均稼働時間：24時間とする。
・非常停止の平均操作頻度：1回／1日（ｔ＝86,400s/cycle）とする。

（2）コンポーネントのB_10D、DC など

・非常停止用押ボタンスイッチ

　B_10D（各々のNC接点）：100,000回（附属書C 表C.1による）
　DC：99％（附属書E 表E.1による）

・コンタクタ

B_10D：2,000,000回（附属書C 表C.1による）
DC：99％（附属書E 表E.1による）

・安全リレーモジュール

　MTTF_D：243年（メーカーから提供された数値）
　DC：99％（メーカーから提供された数値）

6-4. ブロックダイアグラム

SRP/CS各部の論理的な繋がりなどを表現するために、ブロックダイアグラムが使われます。（これは、信頼性ブロックダイアグラムの考え方をベースにしています。）ブロックダイアグラムは図17のように表せます。
またこのダイアグラムは、カテゴリ4のアーキテクチャ（図18）に等しいことが解ります。
なお、この回路では非常停止スイッチの最大動作回数を制限し、ISO13849-2：2012の表D.8による機械的側面の障害の除外を適用しています。

6-5. 計算の結果、およびPLと単位時間当たりの危険側故障率

非常停止用押ボタンスイッチ、安全リレーモジュール、安全コンタクタの各MTTF_DやDCなどは表6の左側に示し、システムのMTTF_Dやカテゴリ、およびDC_avgなどは右側に示します。

7. ISO/TR23849によるパフォーマンスレベルの計算例

ISO13849-1では、システムの各チャネルについてMTTF_Dを計算し、その後DC_avgなどの計算を行いました。一方ISO/TR23849では、システム全体をサブシステムに分割し、サブシステムごとにPL（およびPFH_D）を計算、 その後それぞれの値を合計して全体のPLとPFH_Dを算出する方法を採用しています。以下に、ISO/TR23849をもとにした、計算例を示します。

リミットスイッチ×2個（NC接点＋NO接点）＋安全リレーモジュール＋安全コンタクタ（2個）の場合

回路図は、図19をご覧ください。

7-1. 動作および安全原則

（1）動作の順序

①ガードを開ける。
安全リレーモジュールの出力がOFFになり、コンタクタ（K3、K4）の励磁が解けて、 コンタクタの主接点（NO接点）がOFFになり、モータ（危険源）を停止します。

②ガードを開いた状態で維持する。
コンタクタの主接点はOFFを維持しモータの予期しない起動を防止します。

③ガードを閉じる。
ガードを閉じただけではモータは起動しません。

④スタートスイッチを押す。
モータが起動します。

7-2. 安全原則および条件

（1）ポジションスイッチS1は、直接開路動作型NC接点を持つリミットスイッチで、IEC60947-5-1 Annex Kの要求を満たしています。

（2）ポジションスイッチS2は、NO接点を持つリミットスイッチを使用します。
（3）安全リレーモジュールは、ISO13849-1のPL=eおよびカテゴリ4の適合品を使用します。
（4）K3およびK4は共にIEC60947-4-1（ミラーコンタクト付）の適合品を使用し、個別に2個配置します。
（5）コンタクタのミラーコンタクト（NC接点）は、安全リレーモジュールのバックチェック用回路に接続します。

7-3. システムの稼働条件

（1）稼働時間・日数および頻度

・年間の平均稼働日数：365日とする。
・1日の平均稼働時間：24時間とする。
・ガードの開閉回数：15分に1回（t＝900s／cycle）

（2）コンポーネントのB_10D、DC など

・S1のリミットスイッチ B10D：1,000,000回（メーカーからの数値） DC：99％（附属書E 表E.1）
・S2のリミットスイッチ B10D：500,000回（メーカーからの数値） DC：99％（附属書E 表E.1）
・K3のコンタクタ B10D：2,000,000回（メーカーからの数値） DC：99％（附属書E 表E.1）
・K4のコンタクタ B10D：2,000,000回（メーカーからの数値） DC：99％（附属書E 表E.1）

7-4. ブロックダイアグラム

ブロックダイアグラムは、図20のように入力・論理・出力部をサブシステムとして区切って表現されます。
ISO/TR23849では構成が同じサブシステム同士はまとめることが認められているので、図21のようにサブシステムは2つにまとめられます。サブシステム1はチャネル1と2に分けてMTTF_D、DC_avgなどを計算し、附属書KからPL（PFH_D）を求めて、最終的にK1のPL（PFH_D）と合計します。

7-5. 計算の結果、およびPLと単位時間当たりの危険側故障率

リミットスイッチ、安全リレーモジュール、コンタクタの各MTTF_DやDCなどは表7の左側に示し、附属書Kを参照しながら、サブシステムごとのPFH_Dおよび全体のPFH_DとPLは右側に示します。

この場合、PLlowはPL＝cのSRP/CS部分です。これが2個（Nlow＝2）あります。
表8より、全体のPLは、PL=ｃとなります。
また、このシステムはカテゴリ1や2の部分があるので、単一故障の発生時には安全機能を失う可能

2. 障害および障害の除外

2-1. 障害と故障

• この規格では、障害（fault）と故障（failure）について、以下のように定義しています。
  障害（fault）要求される場合に、その機能を実行できない装置やシステムの「状態」を指しています。
  この規格では主にランダムハードウエア障害を指しています。

• 故障（failure）要求される機能を実行する能力が、装置やシステムになくなることを指します。故障した後に障害の状態となります。
  また、一定のPLの要求を満たすSRP/CSは、故障に対する抵抗性を検証しておく必要があります。その場合、以下の考慮が必要です。

• 単一障害あるコンポーネント（部品）の障害の結果、その影響を受けてさらに次のコンポーネントが故障する場合、最初の障害および次に続くすべての障害は、単一障害と見なされます。

• 共通原因故障共通の原因を持つ２つ以上の個別の障害は、単一故障と見なす必要があります。
  なお、別々の原因から生じる２つ以上の障害の同時発生は、ほとんどあり得ないと考えて考慮する必要はありません。

2-2. 障害の除外

障害を除外できる情報に関しては、ISO13849-2をご覧ください。
たとえば、ISO13849-2の表D . 8によれば、ポジションスイッチ、非常停止スイッチなどで、IEC60947-5-1の附属書Kに従って、コンタクトが直接開路動作形（NC接点）であれば、溶着による接点が開かないという故障の可能性は除外できるとされています。

2-3. C規格で個別に要求されるパフォーマンスレベル（PL）について

対象機械にC規格が存在する場合、最優先で適用するのはC規格となります。この規格に安全関連システムのPLやカテゴリに関するに関する要求があれば、そのPLやカテゴリを優先して適用します。
また、C規格によっては、リスクアセスメントの結果に従ってPLrを決定しても良い場合もありますので、対象規格をご確認ください。

2-4. PLとSILの関係

1999年度版ISO13849-1のカテゴリと、IEC61508による安全性インテグリティレベル（SIL）※とは、相互に関連付けができませんでした。しかし、現行のISO13849-1ではパフォーマンスレベル（PL）を用いて危険側故障の平均確率で安全機能を評価するようになってから、安全性インテグリティレベル（SIL）との関連付けができるようになりました。（表2参照）

なおPL＝aの区分レベルは、SILには存在しません。またSILは1から4までありますが、SIL4は化学プラントや原子力発電・鉄道のような大きなリスクが対象となっているため、機械安全の世界では取扱いの範囲外であると解釈されています。そのため、最も危険側故障の発生確率が低いPL=eに相当するのはSIL3です。SILの故障確率は、表9をご覧ください。

表9　パフォーマンスレベルとSILの比較

※安全インテグリティレベル（SIL）

SILは、産業用機械類だけではなく、化学プラントや鉄道システムの安全をプログラマブルコントローラやソフトウェアを用いて構築する場合に使われる、機能安全規格（IEC61508）で規定されている安全水準の指標です。 SIL1からSIL4まで4段階で定められ、低需要運転モードと高需要運転モード（または連続運転モード）があります。

表10は高需要運転モード（連続運転モード）の場合を示し、これとPLを関連付けて参照することができます。

表10 SILの区分

5. カテゴリからパフォーマンスレベルへ （新版（2006年版以降）と旧版の主な比較）

1）旧版ISO13849-1：1999 （EN954-1）による、リスク見積りとカテゴリ

旧版による、安全関連部のリスク見積りおよびカテゴリ決定のプロセスを、図25に示します。
リスク見積りにおいては、リスクグラフ法を用いて、「危害のひどさ（S）」、「暴露頻度（F）」、「危害回避の可能
性（P）」を二択で選択し、5段階での判定となります。
ただし、S1（軽傷）の場合は、暴露頻度・回避の可能性に関わらずカテゴリ1となっています。
また、S2（重傷）・F2（頻繁）・P2（小）の場合はカテゴリ4を選択します。なお、それ以外は多くの場合2つのカテゴリのうち、いずれかを選択することになります。

また、旧版では各カテゴリに対する性能要求（故障に対する安全機能の耐性）は、表11に示すように文章表現に拠っており、B～4までのカテゴリ自体が、安全水準となっています。リスクの大きさは、B＜1＜2＜3 となり４が最も大きくなります。
また、B、1には自己診断機能はありません。3、4には単一障害では安全機能は喪失しないことが要求されます。