13849 規格

ISO 13849は、安全機能の提供を割り当てられた機械制御システムの部品（制御システムの安全関連部品と呼ばれる）に適用される安全規格です。 ^[1]この規格は、一般的なシステム信頼性アプローチ（IEC 61508、MIL-HDBK-217、MIL-HDBK-338など）を特定の分野のニーズに合わせて調整するために作成された、分野固有の機能安全規格のグループの1つです。ISO 13849は、機械分野での使用のために簡素化されています。

この標準には 2 つの部分があります。

• ISO 13849-1、パート 1: 設計の一般原則では、制御システム (ハードウェアまたはソフトウェア) の安全関連部分の設計と統合の原則に関する安全要件とガイダンスを提供します。
• ISO 13849-2、パート2：検証では、分析またはテストによってシステムの安全機能、達成されたカテゴリ、達成されたパフォーマンスレベルを検証するために従うべき手順を規定しています。^[2]

ISO 13849 は、高から継続的な需要率を持つ機械で使用するために設計されています。 IEC 61508 によれば、高需要率は年間の運転につき 1 回以上であり、継続的な需要率は高需要率よりもはるかに頻繁です。低需要率、つまり年間 1 回未満のシステムについては、IEC 61508 、またはIEC 61511などの適切なセクター固有の規格を参照してください。

この規格は、ISO/TC 199、機械の安全性、ワーキンググループ8 -安全制御システムによって開発および維持されています。^[3] ISO 13849の範囲には、機械、電気、電子、流体（油圧および空気圧）技術を使用した制御システムが含まれます。

2013年に行われた非公式の利害関係者調査によると、機械メーカーの89％以上、部品メーカーおよびサービスプロバイダーの90％以上が、自社製品の主要な機能安全規格としてISO 13849を使用しています。^[4]

ISO 13849-1は、1990年代半ばに欧州標準化委員会（CEN）が1996年にEN 954-1「機械の安全性 - 制御システムの安全関連部分 - パート1：設計の一般原則」^[5]を発行したときに始まりました。1999年に、EN 954-1はウィーン協定の下で継続的な開発のためにISOに移管されました。

EN 954-1 では、元々の 5 つの構造カテゴリ B、1 ～ 4 が導入されました。

prEN 954-2:1999、機械の安全性 - 制御システムの安全関連部分 - パート 2: 検証は、2003 年に最終的に ISO 13849-2 となった前身の文書です。この文書は、完成した標準として公開されることはありませんでした。「prEN」の「pr」は、この文書が欧州の予備標準であったことを示しています。

1999 年、ISO は ISO 13849-1「機械の安全性 - 制御システムの安全関連部分 - パート 1: 設計の一般原則」の初版を発行しました。初版は技術的には EN 954-1 と同一でした。発行から 1 年以内に、ISO/TC 199 は規格の改訂のための新規作業項目提案を開始しました。目標は、既存の規格に確率的要件を追加することでした。

2003 年に、ISO 13849-2「機械の安全性 - 制御システムの安全関連部品 - パート 2: 検証」が発行されました。この規格には、設計の機能安全性の検証に関連するすべての詳細が含まれています。さらに、付録 AD には、基本的で十分に検証された安全原則、十分に検証されたコンポーネント、および機械、油圧、空気圧、電気コンポーネントの一般的な障害に関する重要な情報が含まれています。

ISO 13849-1の第2版は2006年に発行されました。この版では、MTTF _d、DC _avg、CCFが初めて導入されました。改訂版には、EU STSARCESプロジェクトを通じて開発された推奨事項が組み込まれました。^[6]および^[7]

2012 年に、ISO 13849-2「機械の安全性 - 制御システムの安全関連部分 - パート 2: 妥当性確認」が発行されました。この版は 2017 年に再確認され、現在も有効です。

ISO 13849-1の第3版は2015年に発行されました。改訂版には追加の技術的説明と分析方法の明確化が含まれていました。この版は2020年に再確認され、新しい改訂が開始されました。

ISO 13849-1 の第 4 版は 2023 年に発行されました。改訂では ISO 13489-2 のコンテンツの統合に重点が置かれており、文書 ISO 13489-2 の特定の付録の一部は引き続き使用されています。

ISO 13849-1に従い、安全システムの設計は機械メーカーが実施するリスク評価に基づいています。^[8]リスク評価では、リスクを軽減するために必要な安全機能と、特定されたリスクを完全に軽減するためにこれらの機能が満たす必要のあるパフォーマンスレベルを特定します。または、固定ガードや可動ガードなどの他の安全装置やその他の対策と組み合わせて軽減します。

付録 A の意思決定ツリー (図 A.1) は、PL _rを決定する方法の例として提供されています。付録 A の方法は、リスクではなくパフォーマンス レベルに関する出力であるため、リスク評価ツールではありません。図 A.1 はリスク評価には使用できません。リスク マトリックスとリスク意思決定ツリーの例は、ISO/TR 14121-2 に記載されています。^[9] リスク評価は通常、少なくとも 2 つのサイクルで行われ、最初のサイクルでは固有のリスクを決定し、2 番目のサイクルでは設計で実装された制御手段によって達成されるリスクの低減を決定します。

安全機能とは、故障すると直ちにリスクが増大する制御システムの機能である。^[8] ISO 13849-1には、次のような一般的な安全機能の説明が含まれている。

• 安全関連の停止
• 開始/再起動
• 手動リセット
• ローカル制御
• ミュート
• 応答時間
• 安全関連パラメータ
• 電源の変動、喪失、復旧

リスク評価で特定された各安全機能には、リスク評価を通じて決定された固有のリスクに基づいて、必要なパフォーマンス レベル (PL _r ) が割り当てられます。固有のリスクとは、リスク管理対策が存在しない場合、またはリスク管理対策が失敗するかユーザーによって無効にされた場合に、機械によってもたらされるリスクです。

パフォーマンス レベルは、a、b、c、d、e で​​表される故障率のバンドです。これらの故障率は、1 時間あたりの危険側故障確率 PFH _{dとして定量化されます。PFH d}の数値は付録 K に記載されています。各バンドの PL 範囲には 5% の許容範囲があります。ISO 13849-1 でカバーされるPFH _{d は、PL a} < 1 × 10 ^{−4の最高故障率から PL} _e ≥ 1 × 10 ⁻⁸の最低故障率までの範囲です。

安全機能のパフォーマンス レベルは、コントローラのアーキテクチャ特性 (指定されたアーキテクチャ カテゴリに従って分類、カテゴリ B、1、2、3、4)、システムの機能チャネル内のコンポーネントのMTTF _{D 、システムに実装されている平均診断範囲 (DC平均})、および共通原因故障 (CCF) に対する対策の適用によって決まります。カテゴリ B、1、および 2 のアーキテクチャは単一チャネルであるため、フォールト トレランスは提供されません。

指定されたアーキテクチャには、3 つのシングル チャネル構造と 2 つの冗長構造が含まれます。これらの構造は、付録 K に示されている PFH _d値を決定するために使用される計算の基礎となります。

指定された各アーキテクチャには、関連するブロック ダイアグラムがあります。SRP/CS 設計を分析する場合、機能チャネルの MTTF _{D を計算するためにアナリストを支援するために、ブロック ダイアグラムを作成する必要があります。}

カテゴリ B は基本カテゴリを表します。このカテゴリは単一チャネルで、MTTF _D = 低または中のコンポーネントを含めることができます。コンポーネントはアプリケーションでの使用に適しており、使用条件 (電圧、電流、周波数、スイッチング周波数、周囲温度、汚染クラス、衝撃、振動など) に応じて適切に指定されている必要があります。カテゴリ B は単一チャネルであるため、DC_平均= なしです。CCF はこのカテゴリでは関係ありません。

最大PL = b。

_{カテゴリー 1 は、MTTF D} = 高コンポーネントの使用により、カテゴリー B と比較して信頼性が向上します。これらのコンポーネントは「十分にテストされたコンポーネント」とみなされ、ISO 13849-2 の付録 A から D に記載されています。さらに、メーカーによってテストされ、関連するコンポーネント安全規格 (例: IEC 60947-5-5) に従って承認されたコンポーネントも、十分にテストされたコンポーネントと見なされます。カテゴリー 1 は単一チャネルであるため、DC_平均= なしです。CCF はこのカテゴリーには関係ありません。

最大PL = c。

カテゴリー 2 は、カテゴリー B を基盤として、MTTF _D = 低から高のコンポーネントを使用し、テスト機器を使用して診断機能を追加することで信頼性を高めたシングル チャネル アーキテクチャです。カテゴリー 2 の DC_{平均は低から中、つまり 60% ≤ DC < 99% になります。診断頻度は、安全機能の要求率と達成する必要のある PL r}によって異なります。最低 CCF スコア 65 が必要です。付録 F を参照してください。

最大PL = d。

カテゴリー 3 は、冗長構造を持つ最初のアーキテクチャです。カテゴリー B を基盤とし、MTTF _D = 低から高のコンポーネントを使用するこのアーキテクチャは、2 つのアクティブ チャネル間の相互監視と、出力デバイスの周期的監視を導入します。カテゴリー 3 では、DC_平均が低から中、つまり 60% ≤ DC < 99% である必要があります。最低 CCF スコアは 65 である必要があります。付録 F を参照してください。

カテゴリー 3 では、安全機能が失われる原因となる単一のコンポーネント障害は許可されません。

最大PL = e。

カテゴリー 4 も、カテゴリー B を基盤とする冗長アーキテクチャです。MTTF _D = High に制限されたコンポーネントを使用するこのアーキテクチャには、2 つのアクティブ チャネル間の相互監視と、出力デバイスの周期的監視が含まれます。カテゴリー 4 では、DC_平均HIGH (つまり、99% 以上) が必要です。最小 CCF スコアは 65 が必要です。付録 F を参照してください。

カテゴリー 4 では、安全機能が失われる原因となる単一のコンポーネント障害は許可されません。

PL = e です。

カテゴリー 3 と 4 の主な違いは、カテゴリー 4 では次のことが求められることです。

• 機能チャネルにおけるMTTF _{Dコンポーネント}
• DC_平均≥ 99%
• 診断サイクル間の障害の蓄積により安全機能が失われることはありません
• 診断サイクルの間に発生するすべての障害は、診断の実行時に検出される必要がある。

制御システムの安全関連部分 (SRP/CS) には検証が必要です。ISO 13849-2 には、分析手法 ( FMEA、FMECA、FMEDA、IFA SISTEMA、またはその他の利用可能な分析ツールを含む)、機能テスト、検証記録のドキュメントを使用した検証に必要なすべての詳細が含まれています。