私の経験をもとに、計器の安全認証プロセスと注意点をお伝えします

Thread Content

この投稿では、あるスイッチング入力型セーフガードがTUVの機能安全認証を取得した事例をもとに、IEC 61508規格に基づく機能安全認証のプロセスを解説しています。また、認証プロセスにおける各ステップの順序や各段階での主な作業、ドイツの認証審査エンジニアによる最新の要求変更点など、重要なポイントについて詳しく説明しています。プロセステストや制御装置などの製品が機能安全認証を取得するための参考としてご利用ください。 2010年頃、中国石油や中国石化の多くの企業が機器を選定する際、入札書において機能安全認証証明書の提出を明確に要求していました。機能安全認証がなければ、計測器メーカーは多くの参入機会を逃してしまう。こうした状況から、機能安全認証の重要性が徐々に認識され、メーカー各社は積極的に機能安全認証の取得に取り組み始めている。きっと他の人も同じで、認証に初めて触れたときは途方に暮れ、どこから手をつけていいかわからなかったのでしょう。本稿では、スイッチング入力型セーフガードの機能安全認証における実際の経験を踏まえ、認証要件、認証プロセス、および注意点について解説する。 安全認証プロセスyunrun.com.cn/news/1940.html 現代工業における機能安全認証の安全性上の役割については、ここで詳しく説明する必要はありません。インターネット上には、機能安全の役割を解説した専門的な記事が多数存在します。本稿では、主にデジタル入力型セーフガードを例に、IEC 61508規格に基づく機能安全認証のプロセスについて解説する。 1. 防爆認証のセーフガードは防爆製品として、国際市場に進出するためには、強制的な国際防爆認証基準を満たす必要があり、機能安全認証の前に関連する防爆認証を取得しなければなりません。多くの認証機関がIECEX防爆認証の手続きについて説明を提供しています。 ①申請者は、IECEXシステムに認可された認証機関に対し、書面によって認証の申請および関連する製品の資料を提出する。機関が受理した後、申請者は認証機関と委託認証契約を締結する。 ②認証機関は、認証申請製品に対して防爆型式検査を行う（図面書類の防爆審査および試作機試験を含む）；防爆検査報告書の審査。 ③認証機関は、認証申請を行った製造業者に対して工場の品質管理状況を検査する。 ④認証機関は型式検査の結果と工場検査の結果を評価し、評価が合格した場合にIECEX認証証明書を発行する。 ⑤認証機関は申請機関に対して年次監査を実施する。 実際、機能安全認証の審査において計器の安全性が評価されるため、回路を変更して防爆パラメータに影響を与える可能性があります；また、防爆認証の審査時に回路の調整が求められ、製品の安全性と完全性を再評価する必要があるため、時間や人件費、コストなどの不必要な浪費を避けるために、防爆認証と機能安全認証を同時に行うことを推奨します。多数の企業での実務経験に基づき、まずは防爆認証用の設計図面や機能安全認証の概念段階での審査を提出することを推奨します。防爆に関する図面の審査が通過したら、機能安全認証におけるFMEA分析、FITテスト、EMC／環境試験などの作業に移っていくことができます。上記が完了すれば、回路図や配線図はほぼ確定し、防爆認証に続く書類の最終調整、試作機のテスト、工場審査などの作業に進むことができます。 2、機能安全認証 機能安全認証のプロセスは、大まかにコンセプト段階の審査、本審査、工場審査、そしてドイツでの再審査および認証発行に分けられる；さらに細かく分けると、主な業務は設計開発、文書管理、評価、ハードウェアの信頼性計算と評価、EMC（電磁両立性）試験、環境試験などに分けられます。本稿で紹介する機能安全認証プロセスは、デジタル入力型セーフガードを例にしています。デジタル入力型セーフガードは純粋なハードウェア回路で構成されているため、ソフトウェアの安全性や完全性に関する評価は必要ありませんが、他の計測器の場合はソフトウェアの安全性や完全性に関する評価が必要となることがあります。 セーフガードyunrun.com.cn/product/list_85.html ①コンセプト段階 ◆ 安全計画(SP) 安全計画では、プロジェクトの組織や担当者及びその資格、安全ライフサイクルの区分、障害防止策、変更処理手順、構成管理などの情報が定められます。 http://yunrun.com.cn/upload/201804/25/201804252126471238.png 図1 プロジェクト組織図 ◆ 検証確認計画(VVP) 検証確認計画には、セキュリティライフサイクルの各段階で行われる検証活動、確認に必要な入力データや出力ファイル、および検証を行う担当者が記載されている。 ◆ 安全要求仕様書（SRS）には、安全機能、安全状態、入力/出力の説明とパラメータ、障害応答時間、SIL安全完全性レベル、安全ゲートが全体の安全回路に占める割合（TUVの推奨値は10％）、安全故障スコアSFF、ハードウェアの故障余裕度、検査テスト間隔、動作モード、環境要件などが定められている。 ◆ 安全概念(SC) 安全概念においては、信頼性ブロック図や機能ブロック図（機能的安全部品は異なる色で区別される）が定められ、各機能ブロックの機能、各機能ブロックで使用される診断措置（対応するSILレベルを満たすもの）、各機能ブロックの診断テスト間隔、そして診断後に各機能ブロックがどのように安全状態に移行するかが示される。 実際には、安全故障率がSILレベルを満たし、後段の文書調整を減らすため、当社が認定するセーフガードではまず簡易的な性能低下処理とFMEA分析を行い、重大な設計上の欠陥を可能な限り排除します。 ◆ 要求追跡表（RT） また、認証プロセス全体を通じて非常に重要な文書がもう一つあります。それが要求追跡表です。安全要求仕様書（SRS）、安全コンセプト（SC）、テスト計画書（TP）、テスト報告書（TR）といった文書に記載されている各安全関連項目は、SR1、SC1、TP1、TR1といった番号を付けて整理されており、これによって各文書間の安全関連項目の関係が明確になり、文書同士の相互追跡が容易になります。 認証機関の審査意見はLOP文書の形で申請者に送られ、数回の修正を経てLOP内の認証機関の意見がすべてなくなると、セーフガードが認証機関のコンセプト段階の審査評価を通過し、認証が本格的な検査段階に入ったことを意味します。 ② 主要検証段階　主要検証段階のタスク：さらなる機能・安全性・環境試験を行い、定義された安全機能およびSILレベルが達成されているかを検証する。 ◆ 降額報告　ラインTUVはデバイスの降額を要求しており、2/3原則とGJB/Z 35-93に定める2段階の降額方法のうち、より厳しい方を適用するよう求めている；本安機器のヒューズ、ジーナダイオードなどの定格低下は、国標GB 3836の要求に従って行う。もし部品の定格が降格要件を満たさない場合は、適切な部品を再選定する必要があります。 表1 設計余裕 部品名 指定仕様 設計余裕パラメータ マニュアル指定の設計余裕 実際の設計余裕 実際の余裕値 結論
インダクタ L1 422776156 瞬間電流(A) 0.8 0.67 0.06 0.09 パス
絶縁耐圧(V) 800 0.5 30 0.0375 パス
動作電流(A) 0.4 0.6 0.03 0.075 パス
熱電温度(℃) 85 THS-(25~10) 60.063 THS-(25~10)未満 パス
コンデンサ C1 C2012N102N101T 動作電圧(V) 100 0.6 29. 0.299 パス
最高定格環境温度(℃) 125 TAM-10 60 TAM-10未満 パス
◆ FMEA分析報告書
a. 製品構造を特定し、信頼性ブロック図に従って全体を複数の機能ブロックに分解する。 b、適切な信頼性データベースを選定し、デバイスの故障率基準値λrefは、シーメンスのデータベースSN 29500を参照するか、またはメーカーから入手することができる；計算に用いる信頼度の要件は70％であり、メーカーが提供する信頼度が60％の場合は、次のように換算する：λ70％ = λ60％×1.204÷0.917。c、環境条件（温度、圧力など）の決定：FMEA分析時には、デバイスが実際に使用される電圧、電流、温度などのデータに基づき、シーメンスのデータベースを参照して故障率λの実際の値を算出する。 d. IEC 62061付録Dに記載されているデバイスの故障モードおよび各故障モードの割合を参考にし、各機能ブロックの故障率の合計値、ならびに安全故障スコアSFFをそれぞれ算出する。ここで、各機能ブロックのSFF値は、対応するSILレベルを満たす必要がある。 表2 機能ブロックの安全性故障スコアの計算
ID数　仕様　機能　故障モード　故障の影響　危険判定基準　診断措置
DC　λ　λs　λD　λDD　λDU　SFF　U6　1　MAX3256　全ブリッジ　開路　影響なし、または出力が停止し、安全状態に移行　0　なし　0　16.4　3.28　3.28　0　0　任意の2点間での短絡　影響なし、または出力が停止し、安全状態に移行　0　なし　0　3.28　0　0　0　クランプ状態　影響なし、または出力が停止し、安全状態に移行　0　なし　0　3.28　0　0　0　出力の寄生振動　安全機能の喪失　1　なし　0　0　3.28　0　3.28　値の変化　影響なし、または出力が停止し、安全状態に移行　1　なし　0　3.28　0　0　0　C62　2　0603　5％フィルタ　開路　影響なし　0　なし　0　44　14.67　0　0　0　C43　CL10F101　短絡　F3が開路し、出力が停止し、安全状態に移行　0　なし　0　14.67　0　0　0　値の変化　影響なし　0　なし　0　14.67　0　0　0　合計　60.4　57.12　3.28　0　3.28　0.9457
◆ DC診断カバレッジ率
診断カバレッジ率は採用される措置によって異なり、約60％、90％、99％となる。IEC 61508-2の表A.2～表A.15は、診断テストに推奨される技術および措置です。 ディジタル入力2路出力のセーフガードの信頼性ブロック図は図3に示されている。ドイツの認定エンジニアの最新の要件により、リレーは別個の機能ブロックとして評価され、FMEA分析にも含められなければなりません。電源と入力に共通の故障要因があり、PFDとPFHを計算する。 http://yunrun.com.cn/upload/201804/25/201804252058206101.png 図2 信頼性ブロック図とPFD計算 ◆ FIT故障挿入テスト(Fault insert Test) FITテストは、認証機関がFMEAレポートの正確性を検証するために用いるものです。FITテストの結果がFMEAと一致しない場合は、設計段階に戻って修正するか、実測結果に基づいてFMEAレポートを修正し、再び安全故障率および故障頻度を計算して、SIL等級を決定する必要があります。 ◆ 性能試験、EMC/環境試験はGB 3836の要求に従い、セーフガードは厳格に型式試験を行う必要がある；また、VVPの要求に基づき、安全ゲートは全体としての性能テストを受ける必要があり、これによって全体の安全機能が適切に動作しているかを確認する。 機能安全を備えたセーフガードのEMC試験項目、参照規格および試験レベルはIEC 2061の付録Eの要求に準拠しており、その中で静電気放電、高速電気パルス群、サージの試験項目についてはより厳格な試験要求が適用される。 ◆ 体系文書　機能安全要件を有するセーフガードの体系文書は、マネジメントシステムおよびIEC 1508の要求を同時に満たし、安全ライフサイクルにおける各種作業が正確に実施されるようにしなければならない。 ◆ 設計マニュアルは、設計機能を実現するために作成される基本文書で、ケース、構造要件、原理、リスト、機能などの内容を含み、規格要求に従って可能な限り図表形式で表現されます。 ◆ 検証報告書 検証とは、製造業者が組み立てを完了した後に行う自己チェック活動であり、電気的安全性適合性検証報告書や境界値テスト報告書が含まれます。 ◆ 生産要求とは、製造業者が機能を実現するために定める規範であり、機能要求、安全要求、環境要求などの内容を含みます。 ◆ ユーザーマニュアルは、製品の仕様や機能、設置・操作方法、動作手順、検証テストなどに関する説明書であり、安全上の注意事項や操作手順、トラブルシューティングなどの内容も含まれています。 管理文書のレビューを実施する目的は、安全要求を満たすための手段や根拠が十分かつ合理的であるかを確認し、文書の内容が安全ライフサイクルの各段階での業務ニーズを満たしているか、また機能安全認証の実施においてレビューの根拠となり得るかを判断することにあります。 上記の書類がすべて審査を通過すると、認証機関は計測器の機能安全証明書の発行を手配します。 現在、上海自動化計器研究所や機械工業計器計測総合技術経済研究所など、機能安全に関する研究機関や関連する試験機関が多数存在し、これらはすでに国内で機能安全認証業務を開始している。人材も増え、技術水準も向上しており、セーフガード計器の機能安全認証も国内で実現可能となっている。各機関には慣習や認識など多くの違いがありますので、ぜひIEC 6508を徹底的に学び、自社製品の実情に合わせて型にはまらず、早期に機能安全証明書を取得することをお勧めします。 著者：張紅雲