日機連２１標準化－２

平成２１年度印刷産業機械の機能安全に関する調査研究報告書

平成２２年３月

社団法人

日本機械工業連合会

社団法人

日本印刷産業機械工業会

この事業は、競輪の補助金を受けて実施したものです。
http://ringring-keirin.jp

序
我 が 国 で は 、標 準 化 の 重 要 性 は 以 前 か ら 十 分 認 識 さ れ て お り 、特 に 機 械 工 業に お い て は き わ め て 精 巧 な 規 格 が 制 定 さ れ て き て い ま す 。ま た 経 済 の 国 際 化 に伴い、世界的規模で規格の国際共通化が進められております。
し か し 、我 が 国 の 規 格 の 中 に は 独 自 で 制 定 し た も の も あ り 、国 際 化 の 視 点 での 見 直 し を 行 う 必 要 性 が 高 ま っ て い ま す 。弊 会 で は こ れ に 対 応 す る た め 、従 来から機械工業に係わる国内規格の国際規格との整合化事業等に取り組んで参りました。
近年、国際標準化にも新しい動きが起こり、製品を中心とした規格に加え、
安 全 、品 質 、環 境 な ど 安 心 の た め の 基 本 要 素 を は じ め と す る マ ネ ジ メ ン ト に 係
わる規格などが制定されてきております。弊会においてもこの動きに対応し、機 械 安 全 、環 境 保 全 な ど 機 械 工 業 に お け る マ ネ ジ メ ン ト に か か わ る 規 格 や 、機械工業の横断的な規格についての取り組みを強化しているところです。
具 体 的 に は 、国 内 規 格 と 国 際 規 格 と の 整 合 を 目 指 し た 諸 活 動 、機 械 安 全 規 格
整 備 と リ ス ク ア セ ス メ ン ト の 普 及 活 動 、機 械 安 全 へ の 取 り 組 み が 競 争 力 強 化 に
つ な が る 方 策 の 検 討 、各 専 門 分 野 の 機 関・団 体 の 協 力 に よ る 機 種 別・課 題 別 標
準 化 の 推 進 な ど で す 。こ れ ら の 事 業 成 果 は 、関 連 業 界 共 通 の ガ イ ド ラ イ ン 、日本 発 の 国 際 規 格 へ の 提 案 や 国 際 規 格 と 整 合 し た 日 本 工 業 規 格 (JIS)、団 体 規 格の早期制定などとなって実を結ぶものであります。
こ う し た 背 景 に 鑑 み 、弊 会 で は 機 械 工 業 の 標 準 化 推 進 の テ ー マ の 一 つ と し て社 団 法 人 日 本 印 刷 産 業 機 械 工 業 会 に「 印 刷 産 業 機 械 の 機 能 安 全 に 関 す る 調 査 研
究 」を 調 査 委 託 い た し ま し た 。本 報 告 書 は 、こ の 研 究 成 果 で あ り 、関 係 各 位 のご参考に寄与すれば幸甚です。

平成２２年３月

社団法人会

日本機械工業連合会
長

伊

藤

源

嗣

は

し

が

き

近 年 、 ISO 国 際 安 全 規 格 に お い て は 、 ISO 12100 等 に 規 定 さ れ た 機 械 類 の 安
全 性 に 関 す る 一 般 原 則 を は じ め 機 械 安 全 や 電 気 安 全 な ど の 規 格 が 改 正 、整 備 さ
れ て き て お り 、機 械 の 製 造 者 は 、こ れ ら に 準 拠 し た 機 械 の 設 計 、製 造 が 求 め ら
れております。
印 刷 産 業 機 械 の 安 全 規 格 で あ る ISO 12643-1～ 5 に お い て も 、 新 た に グ ル ー
プ 安 全 規 格 （ B 規 格 ） と し て 規 定 さ れ た 機 械 の 安 全 制 御 部 に 関 す る ISO
13849-1:2006 の 要 求 事 項 を 適 用 す る た め の 審 議 が 進 め ら れ て お り ま す 。
こ れ ら の 新 し い 規 格 に 適 合 す る こ と は 、印 刷 産 業 機 械 の 主 要 製 造 国 で あ る 我が 国 の 印 刷 産 業 機 械 製 造 者 に と っ て 大 き な 課 題 で あ り 、安 全 性 を 確 保 す る た めの具体的な取り組みを推進し国際競争力を一層強化することが必要となっております。
本 調 査 研 究 は 、 印 刷 産 業 機 械 の 製 造 者 と し て ISO 13849-1:2006 が 要 求 す る
安 全 制 御 回 路 シ ス テ ム に お け る PL（ パ フ ォ ー マ ン ス レ ベ ル ） 評 価 の 取 り 組 みを 推 進 す る た め の 指 針 に つ い て 検 討 を 行 っ た も の で あ り 、こ れ ら の 成 果 を 報 告書に取りまとめました。
本報告書が皆様のご参考に資すれば誠に幸いであります。
本 調 査 研 究 の 実 施 に あ た り ま し て は 、長 岡 技 術 科 学 大 学 の 福 田 隆 文 准 教 授 をは じ め NPO 安 全 工 学 研 究 所 及 び 印 刷 産 業 機 械 業 界 の 方 々 に は 多 く の ご 協 力 をい た だ き ま し た 。 ま た 、 PL 評 価 の 実 証 調 査 に お い て は ド イ ツ BG（ ド イ ツ 職 業
保 険 組 合 ）の ご 指 導 を 賜 り 、こ れ ら の 成 果 は 本 調 査 研 究 の 要 と す る こ と が で きました。
ここに厚くお礼を申し上げる次第であります。

平成２２年３月

社団法人 日本印刷産業機械工業会
会 長

小

森

善

治

委 員 会 名 簿（敬称略、順不同）

１．委 員 名 簿
委 員 長

福田隆文

長岡技術科学大学 システム安全系 准教授

委

員

鈴木美智男

(株)ＩＳＯＷＡ 電子技術グループ リーダー

委

員

菅原大助

イトーテック(株) 設計開発部 電気課 課長

委

員

郷間英樹

(株)尾﨏製作所 技術課 係長

委

員

海老原宏満

(株)小森コーポレーション

委

員

田中広志

(株)桜井グラフィックシステムズ 電気設計課 係長

委

員

青島寿彦

(株)篠原鐵工所 設計課 課長

委

員

桐栄敬二

大日本スクリーン製造(株) 技術開発カンパニー 部長

委

員

田村俊一

(株)東京機械製作所 電機制御部 主任

委

員

渡辺達男

太陽精機(株) 開発本部 制御開発Ⅲ

開発部開発４課（ホリゾン・インターナショナル(株)）
委

員

奥原秀雄

三菱重工業(株) 印刷機械技術部
特許技術管理グループ グループ長

委

員

木村隆志

リョービ(株) グラフィックシステム本部
技術部印刷機設計課 課長

委

員

田尾玄治

元(株)小森コーポレーション 社長室

オブザーバー伊藤

経済産業省 製造産業局 産業機械課 調整専門職

事 務 局

樋口恭司

(社)日本印刷産業機械工業会 専務理事

事 務 局

長沼

勉

(社)日本印刷産業機械工業会 事務局長

事 務 局

松尾正明

(社)日本印刷産業機械工業会 業務部長

事 務 局

杉田行人

(社)日本印刷産業機械工業会 調査課長

桂（敬称略、順不同）

２. グループ名簿
グループ A（オフセット枚葉印刷機）
主査

青 島 寿 彦(株)篠原鐵工所

委員

田 中 広 志(株)桜井グラフィックシステムズ委員

桐 栄 敬 二大日本スクリーン製造(株)委員

奥 原 秀 雄三菱重工業(株)委員

木 村 隆 志リョービ(株)グループ B（WEB オフセット輪転印刷機）
主

査

海老原宏満

(株)小森コーポレーション委員

田 村 俊 一(株)東京機械製作所

グループ C（断裁機）
主

査

鈴木美智男

(株)ＩＳＯＷＡ

委員

菅 原 大 助イトーテック(株)委員

郷 間 英 樹(株)尾﨏製作所

委員

渡 辺 達 男太陽精機(株)（ホリゾン・インターナショナル(株)）３. 委 員 会 の 経 過
当該事業の委員会及び分科会の活動経過は、以下のとおりである。
（1）第 1 回 印刷産業機械の機能安全に関する調査研究委員会（平成 21 年 7 月 30 日）① 事業概要及び事業実施計画・スケジュールの確認② 講演会の開催（PL の評価方法について）③ 各グループの PL モデル回路の作成について検討（2）第 2 回 印刷産業機械の機能安全に関する調査研究委員会（平成 21 年 9 月 18 日）① PL モデル回路の説明資料の記載内容について検討② BGIA Report（回路図解説書）の翻訳について検討③ SISTEMA（システマ）の解説書作成について検討④ ISO 13849-1:2006 のソフトウェア安全要求事項について検討⑤ 委託業務の内容について検討（PL 評価の検証等）（3）第 3 回 印刷産業機械の機能安全に関する調査研究委員会（平成 21 年 10 月 21 日）① 講演会の開催（機械・設備の安全関連系エンジニアリングにおける機能安全認証の手引
きについて）② PL モデル回路の説明資料の確認③ ISO 13849-1:2006 の要求事項の解釈について検討④ BGIA Report（回路図解説書）の翻訳について検討⑤ SISTEMA（システマ）の解説書作成について検討⑥ 報告書の構成と執筆分担について検討（4）PL 評価の現地調査（平成 21 年 11 月 6 日）
安全制御回路の PL 実機調査（Ａ社）（5）第 4 回 印刷産業機械の機能安全に関する調査研究委員会（平成 21 年 11 月 26 日）① PL モデル回路の説明資料の最終確認② 安全制御回路の PL 評価実機調査の概要報告③ ISO 13849-1:2006 のソフトウェアに関する要求事項について検討④ ISO 13849-1 及び PL 評価についての講演会開催について検討⑤ 報告書の骨子について検討（6）第 5 回 印刷産業機械の機能安全に関する調査研究委員会（平成 22 年 1 月 7 日）
① 講演会の開催（ISO 13849-1:2006 及び爆発予防の概要、PL 評価）

② PL 評価の検証結果について討論（7）第 6 回 印刷産業機械の機能安全に関する調査研究委員会（平成 22 年 1 月 28 日）① 各グループの PL 評価に関する検証結果のまとめについて検討② 報告書原案について検討③ 事業のまとめの方向について検討（8）第 7 回 印刷産業機械の機能安全に関する調査研究委員会（平成 22 年 3 月 1 日）
① 各章の報告書原案について検討② 調査研究のまとめについて検討（9）第１回 編集分科会（平成 22 年 3 月 12 日）① 報告書原案の最終確認② 報告書の総括及び編集＜備考＞
本調査研究は事前調査として平成 21 年 1 月に準備委員会を立ち上げ、6 月までの間に計 5 回の準備委員会を開催し、事業の基本的な内容について調査研究を行った。

─ 目 次 ─
序
はしがき
委員会名簿
目次
第1章

調査研究の目的及び概要 ...................................................... 11.1

調査研究の背景と目的 ......................................................... 11.2

調査研究の概要 ............................................................... 1

第 2 章 ISO 13849-1:2006 の要求内容について .......................................... 4
2.1 ISO 13849-1 の概要 ............................................................. 4
2.1.1 ISO 13849 の位置付けと関連規格との関係 ..................................... 4
2.1.2 ISO 13849 の 2006 年改正の概要 .............................................. 5
2.1.3 パフォーマンスレベル（PL） ................................................ 5
2.1.4 PL の計算の基礎 ............................................................ 8
2.1.5 ソフトウェアの要求事項 ................................................... 11
2.1.6 SIL と PL の整合(参考) ..................................................... 12
2.2 ISO 12643 への適合及び印刷産業機械の PL 要求値 ................................. 14
2.3 実機による検証（ISO 13849-1:2006 の要求値と実機による PL 評価の妥当性検証） .... 16
2.3.1 目的と調査の概要 ......................................................... 16
2.3.2 調査項目 ................................................................. 17
2.4 まとめ ....................................................................... 22
第 3 章 関連業界における ISO 13849-1:2006 の取り組み状況について .................... 24
3.1 欧州、日本の電気メーカーの取り組み（MTTFd、B10d） ........................... 24
3.1.1 欧州電気部品業界の PL 対応状況について ................................... 24
3.1.2 日本の電気部品業界の PL 対応状況について ................................. 25
3.2

BG の ISO 13849-1:2006 の PL 計算の手引き ...................................... 26

3.3 入手可能な PL 計算ソフトの紹介 ............................................... 27
3.3.1

SISTEMA ................................................................. 27

3.3.2

PAScal .................................................................. 27

3.3.3

PL Evaluator lite ....................................................... 27

3.3.4

Safety Evaluation tool .................................................. 27

第 4 章 印刷産業機械における PL 評価の検証について .................................. 28
4.1

PL 評価の検証................................................................ 28

4.1.1 目的 .................................................................... 28
4.1.2

手順及び日程 ............................................................ 28

4.2

印刷産業機械の安全性評価の試行 .............................................. 30

4.2.1 オフセット枚葉印刷機の安全性評価（A グループ） ........................... 30
4.2.2

WEB オフセット輪転印刷機の安全性評価（B グループ） ....................... 63

4.2.3 断裁機のバックゲージ部の安全性評価（C グループ） ......................... 75
4.3

BG による検証結果について .................................................. 112

4.4 総括 ....................................................................... 113
第5章

調査研究のまとめ .......................................................... 117― 資料編 ― ...................................................................... 119

第1章

調査研究の目的及び概要

1.1 調査研究の背景と目的
印刷産業機械の製造者は、機械の安全性を確保するため ISO 等の安全規格の要求事項に適合することが求められている。2006 年には、全ての機械類に適用される ISO グループ安全規格（B 規格）の ISO 13849-1（制御システムの安全関連部）が改正された。
2006 年の ISO 13849-1 の改正は、安全装置等の信頼性評価に関して、機械類に使用する部品等の信頼性に対する従来のカテゴリ評価に加え、安全制御システムの信頼性を長期使用時の寿命という考えまで拡大し、それらを確率論的に求めたパフォーマンスレベル（以下 PL）評価を行うことを要求している。
本改正を受けて、ISO/TC130/WG5（人間工学/印刷産業機械の安全性）国際会議においては、印刷産業機械の安全規格である ISO 12643-1～5（C 規格）に、ISO 13849-1:2006 の要求事項を盛り込むための審議が進められており、順次規格化する予定である。
これにより、印刷産業機械の安全制御システムの評価は、従来のカテゴリ評価から、ISO 13849-1
規格の PL 評価または IEC 62061 規格の SIL が要求されることとなった。
本調査研究は、ISO 13849-1: 2006 の規格を取り上げ、印刷産業機械業界として PL 要求値に対する評価方法を確立し、各社における評価レベルの統一化を図るとともに、印刷産業機械の製造者が ISO 13849-1: 2006 の要求事項に適切に対応するための指針を示し、今後のガイドライン策
定のための基本的な内容を整理することを目的とした。
本指針は、中小企業性の高い当業界の国際競争力の強化に寄与し重要な示唆を与えるものとして期待されているものである。
本調査研究において ISO 13849-1:2006 の規格を取り上げたのは、IEC 62061 規格にも SIL の評
価方法が規定されているが、趨勢としては従来よりカテゴリ評価に対応してきた印刷産業機械業
界においては ISO 13849-1:2006 の PL 評価が適していると判断したためである。
1.2 調査研究の概要
本調査研究は、ISO 13849-1:2006 の規格の要求事項に適合するため、規格の内容を吟味し、PL
評価の取り組み課題を抽出するとともに、試行的に安全制御システムのモデル回路を作成し PL評価を行ったうえ、認証機関に検証を依頼する等により、これらの対応指針を検討し報告書に取りまとめたものである。
印刷産業機械の安全規格である ISO 12643-1～5 は、ISO 13849-1:2006 の規格に基づき、制御システムの安全関連部の PL 要求値が規定されており、現在、ISO/TC130/WG5 で最終審議を行っているところである。
当委員会では、ISO 12643-1～5 に規定した PL 要求値を満たすための PL 評価の取り組みに関し、
以下の内容を中心に調査研究を行った。

1

(1) PL の評価方法に関する調査
ここでは、ISO 13849-1:2006 が要求する安全制御システムの PL 評価に関連する基本的事項
について、以下の調査を行った。
① ISO 13849-1:2006 の安全制御システムの要求性能レベルに関する調査及び印刷産業機械の安全規格（ISO 12643-1～5）が求める PL 要求値に関する調査。
② 印刷産業機械の実機による PL 要求値の検証。
③ PL の各種計算システムの評価。
(2) 安全制御回路モデルによる PL 評価実証調査
印刷産業機械業界として適切な PL 評価の取り組みを推進するため、当委員会において、印刷
産業機械の回路図を想定した安全制御システムのモデル回路を作成し、PL 評価を試みた。それらの検証は認証機関に依頼した。
モデル回路は、機種別に設置した、オフセット枚葉印刷機（Ａグループ）、WEB オフセット輪
転機（Ｂグループ）、断裁機（Ｃグループ）の３グループごとに作成のうえ、ISO 13849-1:2006の手順に従い PL 評価を行った。
これらの実施手順及び実証は以下のとおり行った。
① 機種別の安全制御システムのモデル回路を作成。
② モデル回路の PL 要求値を求める。
（ISO 12643 規格に基づき PL 要求値を求めることにしたが、ISO 12643 規格に規定がない
場合、リスク分析により PL 要求値を求めた）③ 安全制御回路モデルの PL 評価の試行。
・モデル回路のブロック展開
・PL 評価の計算（手計算または PL 評価自動計算システムを使用）
・レポート作成④ PL 評価の実証
各グループがレポートにまとめた PL 評価資料の検証については、印刷産業機械の認証に実績のあるドイツの認証機関 BG（ドイツ職業保険組合/以下 BG）に調査を依頼し、具体的な回答を得た。
(3) 指針・ガイドライン策定
上記(1)～(2)の調査研究成果に基づき、印刷産業機械の製造者が ISO 13849-1:2006 の要求事項に適合した PL 評価の取り組みを推進するための指針を示し、今後のガイドライン策定を念頭においた取りまとめを行った。
本報告書の構成について以下に記述する。
第 2 章では、ISO 13849-1 の基本的な概要を理解するため、PL の考え方や計算手順及び印刷産
業機械の PL 要求値等について取りまとめた。
第 3 章では、欧州や日本の電気メーカーにおける ISO 13849-1:2006 の対応に関して、各社のMTTFd または B10d の部品リストの公表状況及び各社が公表している PL 計算ソフトの開発状況等について調査した結果を取りまとめた。

2

第 4 章では、PL 評価の取り組みに関して、その手順等について検証を行った結果を取りまとめた。これらは、委員会の各グループにおいて安全制御システムのモデル回路を作成したうえで PL 評価を行い、ドイツ BG の認証官（Dipl.-Ing Klaus-Dieter Becker）に検証を依頼したものである。ここでは、主に、各グループが試行した PL 評価についての資料と Dr.Becker の検証
結果、その解説及び Dr.Becker と各グループとの討論並びに成果について取りまとめた。
第 5 章では、印刷産業機械の製造者が ISO 13849-1:2006 の取り組みを推進するための課題を整理し、本調査研究の成果と今後の取り組み指針を取りまとめた。
また、巻末の資料編には、当委員会が参考にした以下の三点の資料を紹介した。
・ BGIA Report 2/2008 の翻訳（仮訳）（BGIA が発行している ISO 13849-1 に関係する回路等の解説書であり、ISO 13849-1:2006の理解を深めるため関連箇所のみを抜粋し当委員会において仮訳したもの。ここでは第8 章の回路の解説部分を紹介した。）
・ SISTEMA の簡易解説書（BG が公開している SISTEMA は PL 計算評価ソフトの一つであり、当委員会において回路
例を基に操作方法についてまとめたもの。）
・ISO 13849-1:2006 の疑問と解釈についての Q&A（当委員会の質問に対する Dr.Becker の
回答）

3

第2章

ISO 13849-1:2006 の要求内容について

2.1 ISO 13849-1 の概要
本節で取り上げるのは、ISO 13849-1:2006“Safety of machinery --- Safety-related part ofcontrol systems --- Part 1: General principles for design1）”である。この規格は、機械の安全制御部のなかで安全に関連する部分の設計指針で、初版は 1999 年に発行され、我が国メーカーも対応してきている。今回の改正では、昨今の電子化され、またソフトを使用した安全関連制
御部が増えたことを反映して、ソフトウェア開発における V モデル、信頼性指標である
PL(Performance Level、全制御部の作動の確実性を示す指標)の導入等がなされた。
2.1.1 ISO 13849 の位置付けと関連規格との関係
ISO 13849 は機械安全規格の体系のなかでは B 規格(グループ安全規格)である(図 2.1)。
機械の制御の安全関連部の作動信頼性を規定しているという点では IEC 61508 の傘下規格である IEC 620612)と重複している部分(表 2.1)があり、2.1.6 で記述するが、両者の整合化が課題となっている。また、ISO 13849 でも、PL=e に対応するソフトウェアの設計に関しては IEC
615083）を参照している。

ISO/IECガイド51
A 規格 ( 基本安全規格 )機械（基本概念）：ISO 12100-1 ( JIS B 9700-1 )機械（技術設計）：ISO 12100-2 ( JIS B 9700-2 )リスクアセスメント A 規格：ISO 14121 ( JIS B 9702 )B 規格 ( グループ安全規格 )安全制御回路：ISO 13849-1 ( JIS B 9705-1 ) 機械の機能安全規格：IEC62061 ( JIS B 9961 )
電気設備安全規格：IEC 60204-1 ( JIS B 9960-1 )インターロック規格：ISO 14119
センサ一般安全規格：IEC 61496-1~4 ( JIS B 9704 1~3 )ガードシステム規格：ISO 14120などなど

C 規格 ( 個別機械の安全規格 )工作機械、印刷産業機械、産業用ロボット、無人搬送車、輸送機械、鍛圧機械、マシニングセンタ、エレベータ、化学プラントなど

図 2.1 機械類の安全規格の体系

4表 2.1 両規格の適用範囲の推奨案（一部簡略）

安全関連性能を実現する技術方式

ISO 13849-1:2006

IEC 62061:2005

A
B

適用できる
PL e までの指定のアーキテク
チャに適用
PL d までの指定のアーキテク
チャに適用
PL e までの指定のアーキテク
チャに適用

適用できないSIL3までのすべてのアーキテ
クチャに適用同上

D

非電気的、例えば液圧式
電気･機械的部品（例えば、リレー）、又は非複雑電子部品
高複雑度電子システム、例えばプログラム式
AとBの複合E

CとBの複合F

CとA、又はCとA及びBの複合

PL d までの指定のアーキテク
チャに適用
高複雑度電子システムには、ISO 13849-1:2006 に 指 定 さ れるPL d までのアーキテクチャ
又はこの規格によるすべての
アーキテクチャを用いることができる

C

非電気的な制御システムには、サブシステムとしてISO
13849-1:2006に適合する部品を用いる
SIL3までのすべてのアーキテ
クチャに適用
非電気的な制御システムには、サブシステムとしてISO
13849-1:2006に適合する部品を用いる(注)この表は、ISO 13849-1:2006、IEC 62061 で、それぞれの表 1 として記載されている。

2.1.2 ISO 13849 の 2006 年改正の概要
主な改定点は次の事項である。
1. リスクの数量的な低減という視点が強く打ち出された。これは、ISO 13849-1:2006 の図 2に示されている。従来でも、リスクグラフでカテゴリを決定する際に、本質的安全方策でどこまで行うかを考慮していたので、実質同じであるが、リスクを連続量としてとらえる図を用いて説明している。
2. 1.を受け、カテゴリの考え方に信頼性の指標である PL が導入された。また、従来のカテゴ
リ(だけ)による方法では、カテゴリ 1、2、3、4 で構造の違いは規定されていたが、それが必ずしもリスク低減と一致していたか明確でなかったことが、PL 導入のいきさつの一つと思われる∗1。
3. いままでソフトウェアを用いる制御回路の扱いの規定がなく、また電子回路を用いた安全制
御回路の扱いが明確でなかったので、これらの事項を規定された。
2.1.3 パフォーマンスレベル（PL）
ISO 13849 は制御システムの安全関連部の設計・評価に関する規格であり、上述のように、評価に PL が規定された。PL は、安全関連部の一時間当たりの危険側故障の平均確率を基に考える。ただし、安全側の故障は考えず、危険側故障のみを評価する。定義は表 2.2 のとおりである。手順は次のようになる。
(1) 始めに、危険源同定の結果を受け、リスク低減方策を実施する。
∗1
ISO/TC199 委員でこの改正のまとめ役であった Dr. Becker(BG)の講演などによる。

5

(2) その結果、制御による本質的安全設計方策あるいは安全防護及び付加防護を行うことになった時に、この規格に従った検討を行うことになる。
(3) リスクグラフ(ISO 13849-1:2006 附属書 A の図 A.1 参照)あるいは他の妥当な方法により、安全制御部の有すべきパフォーマンスレベル(PLr)を決定する。または、個別 C 規格で規定されているので、それに従う。印刷産業機械では、ISO 12643 に規定されている(2.2
参照）。
(4) PLr に適合する設計を行う。

表 2.2 パフォーマンスレベル(PL)PL

一時間当たりの危険側故障発生の平均確率
Average probability of dangerous failure per hour [1/h]a≥ 10-5 to <10-4b≥ 3 × 10-6 to <10-5c≥ 10-6 to <3 × 10-6d

≥ 10-7 to <10-6e≥ 10-8 to <10-7

しかし、実際的には、設計した回路の作動信頼性を厳密に計算するのではなく、CD、 MTTFd、共通原因故障（CCF）の評価を行い、最後に図 2.2 から PL が決まる。この計算プロセスは、カテ
ゴリ毎の指定アーキテクチャを想定したうえで、図 2.3 に示すフローによる。CD、 MTTFd の計算、
CCF の評価などは、規格の附属書（表 2.3）に示されている。

Performance level

a
b

none

DC<60%

low

60%s≦DC<90%medium 90%≦DC<99%

c

high

d
e

Cat.

B

1

2

2

3

3

4

DC

none

none

low

mediumlow

mediumhigh

ＭＴＴＦｄ =low

3years≦MTTFd <10years

ＭＴＴＦｄ =medium 10years ≦MTTFd <30years
ＭＴＴＦｄ ＝high30years ≦MTTFd <100years
図 2.2 PL の判定法

699%≦DC

図1より

安全機能の特定安全機能ごとの要求特性の指定

選択した安
全機能ごと

要求パフォーマンスレベルPLrの決定

安全機能を設計及び技術的実現

次の事項からPLを決定する- カテゴリ- MTTFd
- DC
- CCF

No

No

PLは要求パフォーマンスレベル
PLrよりは大きいか
Yes

妥当性確認

Yes

全安全機能の解析終了

Yes
To Figure 1 (ISO 12100)

図2.3 PLの決定

表 2.3 ISO 12643 附属書

附属書

表題

A

要求パフォーマンスレベル PLr の決定B

ブロックメソッド及び安全関連ブロックダイアグラム

C

単一コンポーネントの MTTFd 値計算又は見積もり

D

単一チャンネルの MTTFd 値計算又は見積もり

E

機能及びモジュールの診断範囲(DC)の見積もり

F

共通原因故障(CCF)の見積もり

G

系統的故障

H

制御システムの安全関連部の組み合わせの例

I

例

J

ソフトウェアK(ISO 13849-1:2006 の)図 5 の値

7

2.1.4 PL の計算の基礎
信頼性工学の基礎は、この規格の理解のために必要であり、その概要は理解しておくべきである。信頼性工学では、次の式を基礎としている。

R (t ) = 1 - F (t )信頼度関数：f (t ) = −

確率密度関数：dR(t ) dF (t )=dtdt

λ (t ) =故障率関数：(1)f (t )
R(t )

(2)
(3)

また、規格でよく引用される MTTF (平均故障間隔時間∗2)は次式で求められる。
∞

MTTF = ∫ tf (t )dt(4)0

なお、この規格では危険側故障を取り扱うので、平均危険側故障間隔時間 MTTFd を問題とし、
安全側故障については議論していない。
この規格では、コンポーネントは指数分布に従うと考えており、信頼度関数などが次式で示される。

R(t ) = e − λt
F (t ) = 1 − e

(5)

− λt

(6)

f (t ) = λe − λtλ (t ) = λ(7)（故障率関数が一定）
∞

1

0

λ

MTTF = ∫ tλe −λt dt =

(8)
(9)

直列系／並列系の故障率，平均故障間隔時間
ここでは、規格に出ている式を理解するために必要な式を列記する。なお、上でも述べたが、規格は危険側故障のみを問題としている。従って、規格では MTTFd と記述している。本章の議論は、信頼性工学の一般論であるので、添え字の d は付していない。
【直列の場合】

R (t ) = e − λ1t e − λ2t = e − ( λ1 +λ2 ) t
f (t ) = (λ 1+ λ2 )eλ (t ) =− ( λ1 + λ2 ) t− ( λ1 + λ2 ) t(λ1 + λ2 )ee −( λ1 +λ2 ) t

MTTF == λ1 + λ2

1
1
1+
MTTF1 MTTF2

∗2

(10)
(11)
(12)
(13)

JIS Z 8115:2000 ディペンダビリティー用語では、故障までの平均時間と云う。なお、 MTBF (MeanTime Between Failure)を平均故障間隔という。

81の関係を(12)式に代入すると、
MTTF
1
1
1
=
+
(14)
MTTF MTTF1 MTTF2

故障率は各故障率の和になる。また、 λ =となる。このことから、附属書 D に示されているパーツ・カウント・メソッドは、各コンポー
ネントが直接系になっていると見なしていることと理解できる。
【並列系の場合】R (t ) = e − λ1t + e − λ2t − e − ( λ1 +λ2 ) t
f (t ) =λ 1e

λ (t ) =− λ1t+ λ2 e− λ2 t− (λ 1 + λ 2 )e

λ 1 e − λ t + λ 2 e − λ t − (λ 1 + λ 2 ) e − ( λ + λ ) t
1

2

1

(15)

− ( λ1 + λ2 ) t

(16)

2

(16)＜注 時間に対して一定ではない＞

e −λ1t + e −λ2t − e −( λ1 +λ2 ) t

MTTF = MTTF1 + MTTF2 −1
1
1+
MTTF1 MTTF2(17)(17)式と附属書 D の異なるチャンネルに対する MTTFd と各チャンネルの MTTFd の調和に示される(D.2)式を比較すると、並列(冗長)系としたときに MTTF が“大きくなりすぎないように”係数2/3 を乗じていることが分かる∗3。

⎤
⎡
⎥
⎢
2
1
⎥
MTTFd = ⎢ MTTFdC1 + MTTFdC 2 −
1
1
3⎢
⎥
+
⎢⎣
MTTFdC1 MTTFdC 2 ⎥⎦(D.2)

この規格では、B10 ライフ、つまり 10％のアイテムが故障に至る時間を指標に使っている。年間の運転回数 nop との関係式

MTTFd =

B10 d
0.1× nOP（18），(C.1)

が示されている。この式もアイテムの故障が指数分布に従うという仮定から、次のよ
うに導き出せる。
B10 ライフを T10 とすると、 R (T10 ) = 0.9 （ F (T10 ) = 0.1 ）であるから、R (t ) = e − λT10 = 0.9(19)となる。これから、− λT10 = ln 0.9 = −0.10536となり、∗３

資料編の 3.ISO 13849-1 に関する疑問点と BG の回答の 24 参照。

9

T10 = 0.10536 / λ ≈ 0.1 / λ(20)である。 MTTF = 1 / λ を代入すると T10 = 0.10536 / λ = 0.10536MTTF となる。
したがって、 MTTF = T10 / 0.10536 である。したがって、一年当たりのサイクルを nOP 、B10
ライフまでのサイクル数を B10 とおけば、

MTTF =

B10
0.10536 × nOP

(21)

となる。
規格では、0.10536 を 0.1 と丸めて、MTTF =

B10
0.1× nOP(22)としている。
詳しくは他にも検討事項があるが、本節に記した直列系、並列系の故障率及び MTTF の計算根拠を理解しておくことで、規格の式や意味が大まかに類推できる。

10

2.1.5 ソフトウェアの要求事項
ソフトウェアの扱いは従来の ISO 13849-1 になかったことであるので、関連箇条を抽出し、表2.4 に示す。細かい要求事項は各関連規格類を参照しなければならない。さらに、ソフトウェアの開発は、図 2.4 に示す V モデルに基づくことが規定されたので、（2.3 に示すように、実質的には今までも行ってきているが）安全要求仕様の明確化、各ステップでの検証作業の計画、実施と結果のドキュメンテーションを残すことが求められる。これらのことについては、附属書 J の
表 J.1 に示されている。

表 2.4 ソフトウェアに関する要求事項及び関連規格類
ISO13849-1ソフトウェアー要求事項
箇条
4.6.1

概略内容

その他関連規格・事項
規格番号/名称

箇条

概略内容

概要：
Vモデル図開発フロー
安全関連ソフトウエア（SRESW）
a～dまでのPLを持つ部品の為のSRESW要求方策

4.6.2

bまたは、dのPLを持つ部品の為のSRESW要求方策

IEC61508
ISO9001
IEC61508-3：1998

プロジェクト管理
品質管理システム
7

PL=eを持つ部品の為のSRESW要求方策

ソフトウエア安全ライフサイクル要求事項
電気電子プログラマブル電子安全関連系の機能安全技術及び手法の概観

IEC61508-7：2000
安全関連応用ソフトウエア（SRASW）
LVLで書かれ、要求事項に適応するＳＲＡＳＷは、a～eまで達成可能
FVLで書かれる場合、SRESWの要求事項を適応でa～eまで達成可能＊PLc～eまでのPLを持つ部品の為のSRESWは下記の追加方策必要a）ソフトウエア仕様のレビュー

ISO13849-1ｂ）ツール、ライブラリ、言語の選択

IEC61131-3

4.6.3

付録J１
付録J２
付録J３
付録J４

ソフトウエアの機能ブロック・レベルのデザイン例
ソフトウエアの安全寿命期間のVモデルの適応
ソフトウエア仕様の検証
プログラミングルールの例
PLC5種の言語（LD、SFC、FBD、ST、IL）定義

c)ソフトウエアドキュメントd）RASWと非ARASWの組み合わされている場合の要求事項
e）実効とコーディング要求事項f）試験g）文書化（変更履歴管理）h）検証I）設定管理（開発時の環境設定のバックアップ）j）変更（変更の権限と履歴管理要求）
4.6.4
4.7

4.8

ソフトウエア・ベースのパラメーター化
データーは、完全性及び識別 変更履歴、無資格者から保護を行なう
達成されたPLがPLrを満たしていることの検証

ISO13849-1

4.3項の要求に一致しなければならない

設計の人間工学的側面

ISO12100-2

機械類の安全性―設計のための基本概念、一般原則
第1部：基本用語、方法論

マンマシンは、いかなる誤使用にも危険に曝されないこと

EN614-1

機械の安全性－人間工学に基づく設計原則
第１部：用語及び一般原則

ISO9355-1

表示器及び制御作動器の設計における人間工学的必要条件－第1部：表示器及び制御作動器と人間との相互作用

ISO9355-3

表示器及び制御作動器の設計における人間工学的必要条件

EN1005-3

機械の安全性－人間の身体的機能

IEC60204-1:2000

10

機械類の安全性－機械の電気装置
第1部：一般要求事項

IEC60447

マンマシンインタフェース（MMI）―操作の基準

IEC61310

機械の安全性－指示，マーキング及び作動

11

ソフトウェア開発安全ライフサイクル（Vモデル）
妥当性確認

ソフトウェア安
全要求事項仕様書

E/E/PES安
全要求事項
仕様書

妥当性
確認試験

統合試験

ソフトウェアアーキテクチャ

E/E/PES（構成要素、サブシステム、
プログラマブル電子装置）

アーキテクチャ

ソフトウェアシ
ステム設計

出力
検証

統合試験
（モジュール）

モジュール
試験

モジュール
設計

E/E/PES：
E/E/PEシステム
モジュール：
ルーチン、個々の構成要素またはカプセル化された複数のルーチン、組

妥当性確認済み
ソフトウェアコーディング

1

図 2.4 ソフトウェア開発のための V モデル

2.1.6 SIL と PL の整合(参考)ISO 13849 の PL は一時間当たりの危険側故障の平均確率で定義されている。一方、IEC 62061
における安全度水準 SIL は PFHD で規定されている。どちらも同等な指標であり、両者の関係は
次の表 2.5 で示される。
表 2.5 SIL と PL の関係

ISO 13849

IEC 62061
∗4

カテゴリ

PL

PDF

1

a
b

≥ 10-5 to <10-4≥ 3 × 10-6 to <10-5c≥ 10-6 to <3 × 10-6

1

10-6 ≤ PFHD <10-5

3d≥ 10-7 to <10-6

2

10-7 ≤ PFHD<10-64e≥ 10-8 to <10-7

3

10-8 ≤ PFHD<10-7

2

SIL

PFHD

PL=a に該当する SIL は規定されていない

ISO 13849、IEC 62061 の両規格は適用範囲の重なり、現場ではどちらを使用するか判断する
か迷うことが予想された。その対応として、ISO 13849 を担当する ISO/TC199 と IEC 62061 を担当する IEC/TC44 の合同チームがつくられ、共通の附属書を作成して、使い分けのガイドを作成する作業が始まった。その最初のアウトプットとして、両規格を比較及び可動ガードによる動力遮断制御回路に関する計算結果の比較・考察した文書が、TR(Technical Report、技術報告書)のドラフト 4）として出された。このなかで可動ガードの位置を二つのポジションスイッチ∗４

一時間当たりの危険側故障発生の平均確率。英語は Average probability of dangerous failure perhour [1/h]。実質的には IEC 62061 の PFHD と同じである。

12

で検知し∗5、安全モジュールで処理しコンタクタを制御することで、ガード開のときにモータへの動力を遮断する制御回路（図 2.5）について、両規格による比較が行われた。ISO 13849:2006の手順にしたがって評価した結果は平均危険側故障確率 2.70×10-8 で PL=e、一方 IEC 62061 の手順にしたがって評価した結果は 4.28×10-8 で SIL 3 となった。どちらも一時間当たりの危険
側故障の発生確率であるから同じ結果になるべきものであるが、この TR 案は計算結果の数値の違いは予想していた程度であり、許容される程度であるとしている。又、共通原因故障の扱いの差異が「小さく許容できる差の原因となる」としている。今回の例では、PL=e、SIL 3 と同等のレベルとなったが、PL=d、SIL 3 のように異なるレベルとなることも十分考えられる。このような状況は混乱を招くので、両手法の一層の整合化が望まれる。
当面は共通の附属書の作成を目指しているが、将来は両規格を統合して ISO/IEC 共通規格とすることが計画されている。
また、使用する故障率のデータによっても結果の差が出る。信頼性のデータが整備されることが、ISO 13849、IEC 62061 規格の適切な使用に欠かせない。この点は、産業界の共通の課題として整備をして頂きたい。
なお、この問題については、佐藤ら 5）のグループが関心を持ち、解析している。
a

B1
L

B2
L

b

L

可動ガード
K1
Q1

Q2

S1 c E
Q1

Q1

Q2

Q2

M
３～

d

shown in actuated position

図 2.5 比較検討回路（IEC/TR 62061-1/Ed.1:20096）の Fig.1）∗5

可動ガードの位置は、各々のポジションスイッチの状態(押し込まれている・押し込まれていない)の組合せから判別できる。

13

2.2 ISO 12643 への適合及び印刷産業機械の PL 要求値
機械の設計に当たっては、リスクアセスメント結果に基づき、さらに附属書 A に示されるリスクグラフによって、要求パフォーマンスレベル PLr を決定し、その要求に合致した制御の安全関連部を構築することになる。現実的には、印刷産業機械の安全に関する C 規格 ISO 12643 シリー
ズに規定されていること PLr を少なくとも達成することが求められる。そこで、規定の要求パフォーマンスレベルを ISO 12643 から抽出したのが、表 2.6 である。

表 2.6 要求パフォーマンスレベル一覧

ISO/DIS 12643-1: [Revision of first edition (ISO 12643-1:2007)]
箇条

6.5.4.2

6.6

6.10.4.2
7.8.3
10.2.3.1.3

10.7

11.2.1.2

12.1.2

要求パフォーマ
ンスレベル

項目
Safety-position switches for interlocking guards (インタロック付きガードのための要員安全スイッチ)
Control systems of safety-position switches
Safety-position switches for interlocking guards (インタロック付きガードのための要員安全スイッチ)
control systems for safety-position switches （For accessto hazard points,）
Hold-to-run controls (ホールド・トゥ・ラン制御器)
Guard circuitry for the hold-to-run condition
Hold-to-run controls (ホールド・トゥ・ラン制御器)
Control circuitry (including selector switch relays and PLC
circuits) that allows interlocked areas to be operated
independently
Pile changing devices for sheet-feeding and delivery
systems (給紙装置及び排紙装置のパイル交換装置)
Ozone hazards caused by UV radiation (UV 放射がもたらすオ
ゾンの危険源)Emergency stop devices (非常停止装置)
Pressure-sensitive mats, pressure-sensitive bumpers, trip
devices(圧力検知マット，圧力検知バンパ及びトリップ装置)
Trip devices
Pressure-sensitive mats, pressure-sensitive bumpers, trip
devices(圧力検知マット，圧力検知バンパ及びトリップ装置)
Trip devices and pressure-sensitive mats, and their related
signal processing,
Maintaining system and data integrity(システム及びデータの完全性の保持)
The equipment manufacturer or service provider
Maintaining system and data integrity(システム及びデータの完全性の保持)
the measures
Performance levels (パフォーマンスレベル)
In the hydraulic/pneumatic control system, thesafety-related parts
Performance levels (パフォーマンスレベル)
If there is a risk of head or torso injuries then therequired performance level

14

PLr d

PLr e

PLr d

PLr b

PLr d
PLr c
PLr d
PLr d

PLr d

PLr d

PLr d

PLr c

PLr d

12.3
12.4
12.5
12.7.212.7.3

Performance levels (パフォーマンスレベル)
If a malfunction of the safety related control system cancause permanent injuries, or if there is a risk of head or
torso injuries,
Performance levels (パフォーマンスレベル)
If the hazards caused by a malfunction of the safety related
control system are small (no permanent injuries)
Cut-off of main energy source (主電源の遮断)
Residual-pile monitoring systems (残留パイル監視システム)
Unobserved unguarded hazard zones (見えない防護していな
い危険区域)
Hydraulic/pneumatic control system (液圧及び空気圧の制御
システム)
Electric/electronic control system (電気的及び電子的制御
システム)

PLr d

PLr c
PLr c
PLr b
PLr b
PLr d
PLr e

ISO/DIS 12643-2: [Revision of first edition (ISO 12643-2:2007)]
箇条
6.3.1
6.7.2.3.2.2
6.7.2.3.2.4
6.7.2.3.2.6
6.7.4

6.7.6.2

8.2.2.2.2
8.2.2.4
10

11.2

要求パフォーマ
ンスレベル

項目
Guarding in-running nips on sheet-fed presses (枚葉印刷機の引込みニップの防護)
Bypass function for removing sample sheets(サンプル紙抜取りのためのバイパス機能)
Bypass function for inserting empty pallets and moving inequipment(空パレットの挿入及び機器の進入のためのバイパス機能)
Automatic bypass function for pile removal(パイル搬出のための自動バイパス機能)
Guarding plate clamping devices(刷版くわ（咥）え装置の防護)
Exception for folder delivery guarding(折機排紙部の防護の例外)-The bypassing means(バイパスの手段を，規定に適合させる。)
Vapours and mists (蒸気及び霧)Exhaust systems of drying devices(乾燥装置の排気システム)
Control systems for screen printing presses(スクリーン印刷機の制御システム)
Electric/electronic control system of prepress machinery(プリプレス機械の制御システム)
The parts of the electric/electronic control system ofmachines and equipment for the preparation of printing
platesElectric/electronic control system of prepress machinery(プリプレス機械の制御システム)
The control systems of interlocking device for safety
devices that prevent access to laser radiation class 3R,
3B or 4, as classified in IEC 60825-1,

PLr d
PLr b
PLr d
PLr b
PLr d

PLr d

PLr d
PLr d
PLr e

PLr b

PLr d

ISO/DIS 12643-3: [Revision of first edition (ISO 12643-3:2008)]
箇条
5.2.2
5.3.4

項目
Exception for machine motion at production speed
Separating elements on hopper feeders

15

要求パフォーマ
ンスレベル
PLr d
PLr b

5.4.5.3
5.10

Glue pans
Trimmers

PLr c
PLr c

ISO/DIS 12643-4
箇条

項目

6.1.3
6.4.3

Zone control with stop/safe devices
Wrap roller and wrap arms
Hazard points between movable gluing unit and fixed machine
part
Hazard points
Crushing points
Movement of slitting and scoring units under hold-to-run
control
Movement of slitting and scoring units under hold-to-run
control
Automatic format setting
Semi-automatic printing forme changesb) the use of hold-to-run control
Semi-automatic printing forme changesc) the use of a foot pedal
Automatic diecutting devices

6.5.8
6.9.2
6.12.1
6.13.4
7.1.4
9.3.3.3
10.1.2

要求パフォーマ
ンスレベル
PLr d
PLr c
PLr c
PLr c
PLr c
PLr c
PLr c
PLr c
PLr d
PLr d
PLr c

ISO/DIS 12643-5
箇条

5.1.1

5.4

要求パフォーマ
ンスレベル

項目
Additional safeguarding requirements
Trip devices (including knee bars)
Additional safeguarding requirements
Sensors used in laser scanners
Additional safeguarding requirements
The safety system that controls trip devices and theirrelated signal processing, which safeguard routine andregular access to a hazard point on a manually-fed device,
Main drive braking and clutch/brake mechanism

PLr e
PLr d

PLr e
PLr e

ISO/TC130/SWG5 アムステルダム会議(2008 年 9 月 22 日(月)～24 日(水))においてカテゴリからPL への置き換え時に、表 2.7 の左の二列の関係で機械的に置き換えられるか、我が国がドイツと共にチェックを担当した。我が国では、リスクグラフによる解析を行った。その結果は、上の表2.6 であり、機械的な置き換え結果とリスクグラフから求めた結果と一致した。したがって、従来のカテゴリを満たした設計であれば、特に問題なく PL に移行できると思われる。実際、次の2.3 に示す実機による確認で、無理なく要求パフォーマンスレベルに合致した設計になっていることが確認できた。
2.3 実機による検証（ISO 13849-1:2006 の要求値と実機による PL 評価の妥当性検証）
2.3.1 目的と調査の概要
ISO 12643-1“一般要求事項”、ISO 12634 -2“印刷機械及びシステム”に規定される安全防護装置のパフォーマンスレベルに実機において対応されているか調査する。また、カテゴリからパフォーマンスレベルへの移行する際の問題点を抽出する。

16

実施日時 2009 年 11 月 6 日(金)13:00～16:00
実施場所 A 社事業所（国内）
対象機械 中型オフセット枚葉機（仕向け先：国内）調査担当 委員長
福田 隆文
委 員
田尾 玄治
事務局
杉田 行人
予備調査項目 ISO12643-1、 -2 でパフォーマンスレベルを規定している箇条は、表 2.7 “調査箇所”のとおりである。これは、表 2.6 “要求パフォーマンスレベル一覧”からの抜粋である。
2.3.2 調査項目
以上のなかから、次の 4 箇所について調査した。

表 2.7 調査箇所と規格の要求パフォーマンスレベル PLr

安全制御の機能

要求パフォーマンスレベル

該当規格番号，箇条

非常停止

dISO/DIS 12643-1:10.2.3.1.3

インキガードd

ISO/DIS 12643-1:6.5.4.2

安全バー(トリップニップバー)

dISO/DIS 12643-1:10.7

デリバリ部光線式安全回路――――

ハードウェアの各箇所の調査は、
1. 想定パフォーマンスレベルの確認
2. アーキテクチャが想定パフォーマンスレベルに適合しているかの確認(安全関連制御部のみ抽出した回路図(図 2.6)及び全体回路図)
3. 2.を示したブロック図の確認(図 2.7)
4. パフォーマンスレベル計算書及びサマリー(図 2.8 図、2.9)の確認
5. 実機による配線の確認の順で行った∗6。また、セーフティーPLC のソフトウェアについては、
6. 仕様決定、コーディング、検証の過程についてヒアリングを行った。
今回の調査対象の安全制御機能は全てカテゴリ 3、パフォーマンスレベル d であった。したがって、2.、 3.については、カテゴリ 3 の指定アーキテクチャ(ISO13849-1:2006 の Fig.11)との照合を行った。要点は、・基本構成が基本安全原則に則している
・入力装置、論理部、出力装置がそれぞれ二重化になっていること
・論理部内に相互監視があること
・出力部の監視があることである。カテゴリ 3 の指定アーキテクチャを図 2.10 に示す。

∗6

動力線と信号線の分離、配線色など IEC60204 に規定される事項は今回の調査対象ではない。

17

a

e

ｂ
ｃ

f

ｄ

図 2.6 調査対象枚葉印刷機の制御の安全関連部回路

18非常停止回路
B1
K1

B2

K2

Q1

K3

T1

K2

Q1

K3

T1

K2

Q1

K3

T1

K2

Q1

K3

T1

インキガードB3
K1
B4

安全バー（トリップニップバー）
B5

K1

B6

排紙安全回路（デリバリライトビーム）
B7

K1

図 2.7 調査対象枚葉印刷機の制御の安全関連部のブロック図

図 2.8 非常停止(左)及びインキガード(右)の PL 計算書

19図 2.9 トリップニップバー(左)及びデリバリーライトカーテン(右)の PL 計算書

I1

im

L1

m
im

O1

m
im

O2

c

I2

im

L2

破線は、合理的に実行可能な障害検出を示す。
記号の説明
内部接続手段
Im
c
相互監視
I1,I2
入力装置。例えばセンサ
L1,L2 論理m
監視O1,O2 出力装置。例えば、メインコンタクタ

図 2.10 カテゴリ 3 の指定アーキテクチャ

20

【非常停止】
要求パフォーマンスレベルはリスクグラフより PLr=d としており、また ISO/DIS
12643-1:10.2.3.1.3 で規定のＰＬr と合致しており、妥当である。
1. 回路構成は、センサ部は強制乖離型の B 接点を二重化して使用している。また、安全 PLC
は安全認証取得製品であり、筐体は単一であるが内部で二重化されており相互監視も行われている。出力は二個のリレーをそれぞれ駆動している。リレーはコイルの励磁により A 接点
を閉じることでそれ以降を制御している。また、A 接点の状態は B 接点によりバックチャッ
クされている。
一つのリレーは A 接点でコンタクタ Q1 を制御し、コンタクタ A 接点によりインバーターへの電力供給を制御している。コンタクタの A 接点の状態も B 接点でバックチェックされ安全
PLC により監視されている。もう一方のリレーの A 接点はインバーターを直接制御する回路に挿入され、やはり閉じることでインバーターの運転が開始される構成となっている。従って、安全 PLC からの信号断によりインバーターは運転停止する構成である。また、以上の構
成は、エネルギ消散によりインバーターをオフする構成であり、停電、断線、地絡、接触等への防護がなされている。
2. 以上の機能上の構成は、ブロック図に示されている。
3. パフォーマンスレベル判定のための PFHD の計算はサマリーの他、その基となった計算書により確認した。
4. 以上のことが実機でも具現されていることを確認するため、制御盤から非常停止スイッチ B1、B2 への配線(図 2.6 の a、b、c、d 部)及びリレーK2、K3 への配線(同 e、f 部)を回路図の線番と照合することで確認した。
【インキガード、安全バー(トリップニップバー)】
入力部は B 接点で構成されており、インキガード開あるいはトリップニップバーが引かれたときに「開」となるように構成されており、適切であることを、回路図で確認し、また実機でもその様になっていることを確認した。安全 PLC 以降の処理は非常停止と共通である。
【デリバリ部光線式安全回路】
入力部である光カーテンはコンポーネントメーカーにおいて認証取得品が選定されていた。
【安全 PLC 出力部(各機能に共通)】
上記事項共通の安全 PLC のソフトウェアについて設計担当者へのヒアリングを行った。その結果、旧版 ISO 13849-1:1999（現行 JIS B 9705 はこの版の翻訳 JIS であり、2006 年版 ISO の
翻訳 JIS は未だ制定、発行されていない）では要求箇条がないが、ソフトウェア開発時には、安全要求仕様と妥当性検証法を定め、その後コーディングを行い、妥当性検証を行っていた。
また、安全 PLC は、ソフトを含めた認証品であり、機能ブロック（ソフトウェア）自体も認証品であり、内部に手を加えることはできない構造となっていた。

21

【実機調査のまとめ】
調査の結果、次の点が明らかになった。
1. ハードウェアの面では、現在有効な規格ではカテゴリで規定されており、設計、製造もそれに従っているが、設計上の検討はすでに開始され、相当程度に進んでいた。従って、規格の趣旨を理解し、相応の準備をすれば設計実務上の対応は可能と思われる。
2. ソフトウェアの妥当性の検証は体系的に精緻に行われており問題点はないと思われるが、規格の定める V モデル(ISO13849-1:2006 の Fig.6)との整合性は今後検討が要るように思われる。
これは、一社の問題ではなく、工業会としてモデルを構築する必要があろう。
3. 一方、回路が定まっても信頼性データによっては達成できるパフォーマンスレベルが異なることがある。スイッチなどの信頼性データは供給者から提供されるべきものであり、各社、あるいは工業会から要求し、早めに入手することは必須である。
2.4 まとめISO 13849 の改正は一見大幅なもので戸惑うところもある。しかし、構造そのものはカテゴリをそのまま引継ぎ、その上で信頼性の要素を上乗せしているもので、計算の煩雑さはあるが、準備すれば対応可能と思われる。同時に、次のような課題があると考えられる。
1. 規格に沿った設計事例の蓄積、これは本工業会が可能な範囲で事例を持ち寄り、また検討回
路例を作成して実施することが望まれる。そのスタートとして今年度に、本調査研究で行ったが、その継続が有効であろう∗7。
2. 認証取得対応の準備、基本的にはカテゴリを中心とした従来の認証と変わらないと思われるが、信頼性データそれ自身の評価、ソフトウェアの扱いなど新たな点があり、各メーカーは認証取得を想定した仕様書、説明書の作成法を考えておくことが有効であろう。また、PL=e
でソフトウェアが入ると、IEC 61508 を用いた説明と記述も要求されているので、その準備も欠かせない。
3. 共通原因故障がスコアーで処理されていること妥当性など、規格に従った PL の評価が制御回
路の安全関連部の適切な評価であるかどうかの実機適用の視点での検証

これは、大学、研究所が主体的に行う必要があろう。
4. 信頼性データの蓄積、これはコンポーネントメーカーにお願いすることになろう。
これらのことを通じて、我々の規格に対する知見を高め、よりよい安全設計を行うと共に、遠くない将来に行われる IEC 62061 との統合化の議論に積極的に参画する準備もしておきたい。
また、この規格の機械指令適用が 2009 年末に予定されていたが、それが二年間延期された。理由ははっきりしないが、EU 内でも準備が十分でなかったと思われる。このことは、我が国も相応の準備が必要であることを示している。

∗7

この課題は全ての分野のメーカーに共通することであり、(社)日本機械工業連合会が中心となって、我が国の研究の集成を行い、BGIA レポート 7)の日本版をまとめることも有効であると考える。具体的な実施形態、内容は今後検討するものである。

22

≪参考文献≫1) ISO 13849-1:2006 “Safety of machinery - Safety-related parts of control systems -- part
1: General principles for design”
2) IEC 62061:2005 “Safety of machinery - Functional safety of safety-related electrical,
electronic and programmable electronic control systems” (JIS B 9961:2006 “機械類の安全性―安全関連の電気・電子・プログラマブル電子制御システムの機能安全－”)
3) IEC 61508 Series:1998-2000 “Functional safety of electrical / electronic / programmableelectronic safety-related systems” (JIS C 0508:1999-2000 “電気・電子・プログラマブ
ル電子の安全関連系の機能安全”)
4)＆6） IEC/TR 62061-1/Ed.1:2009 “Guidance on the application of ISO 13849-1 & IEC 62061
in the design of safety-related control systems for machinery”
5) 櫛引豪，陶山貢市，佐藤吉信：機械類の安全制御に関する国際規格の整合性について，
信頼性 Vol. 32, No. 1, pp.69-79 (2010)
7) BGIA: Functional safety of machine controls -- Application of EN ISO 13849 (BGIA Report
2/2008e), ISMB:978-3-88383-730-X (2008)

23

第3章

関連業界における ISO 13849-1:2006 の取り組み状況について

3.1 欧州、日本の電気メーカーの取り組み（MTTFd、B10d）
3.1.1 欧州電気部品業界の PL 対応状況について
ISO 13849-1 は従来の制御関連部の安全に関する EN 954-1 に、従来の確定論に基づく概念に、信頼性概念として MTTFd、DC、 CCF を評価対象として加えたものである。1980 年代半ばのニューアプローチ指令に基づくリスクベースド・アプローチ(RBA)及び EN 954-1 のリスクグラフ及びカ
テゴリ概念は既に永年定着しているが、EN 954-1 を EN 整合規格として 2009 年末に廃止し、その後継規格として ISO 13849-1 のみが EN 整合規格として適用されると言うことに、ドイツ機械産業
連合会 VDMA が反対した。反対は会員企業の 2/3 に達すると言われ、その主な理由は、会員企業の大半を占める中小企業にとっては、PL の概念が困難なため、従来のカテゴリに置換するには無理があるとのことであった。2009 年 12 月に、EN 954-1 は年末で廃止するとの当初の決議は延期されたが、その有効期限は 2 年間延長されることになった。
この事例が示すとおり、欧州でさえ ISO 13849-1 の実施につき困難は伴っている。
一方で、欧州電気部品業界、とりわけ安全機器製造者は、ISO 13849-1 への規格対応が数年前に既に実施されていることから、PL 対応の安全機器を既に大半の製造者は用意している。因みに、
SISTEMA については、現時点でおよそ 50 社の安全機器製造者がライブラリーを提供している。
(1) 電気部品メーカーが公表している MTTFd または B10d の部品リスト等
MTTFd 及び B10d のデータについて、主なものは ISO 13849-1 の C5 にある記述のとおり、主として SN 29500 が拠り所とされている。その他、MIL-HDBK-217E があり、典型値については本
規格に掲載されている。
電気部品メーカーのうち安全関連製品を提供しているメーカーデータについては、約 50 社
が SISTEMA Library を作成し、データが公表されている。
(2) 電気部品メーカーの自社製 PL ソフトの開発状況等（メーカー名・ソフトの概要）
PL ソフトについては、BGIA Report 2/2008 を作成・発行した BGIA の SISTEMA が、専門性の観点から、そして前述のとおり Library 提供を含めて主流である。
SISTEMA 以外には、ドイツ PILZ 社の PASCal 及びドイツ SIEMENS 社の SET が PL ソフトとして提供されている。
当委員会が調査した各社の PL 計算ソフトの概要を 3.2 に示す。

24

3.1.2 日本の電気部品業界の PL 対応状況について
ISO 13849-1:2006 での PL 評価をするために MTTFd、DC、 CCF 等の、部品データが必要であるが、当初、欧州の電気部品メーカーからは提供されるのに対し、日本の電気部品メーカーの対応が遅れていた。しかし最近では日本の主要電気部品メーカーも、MTTFd、DC、 CCF 等のデータを提供できるようになってきた。もちろん ISO 13849-1:2006 Annex C、E、F にある MTTFd、
DC、CCF 等のデータを代表値として使用すること可能であるが、電気部品メーカーから提供されたデータを使用することができればその方がベターである。
以下の表 3.1、表 3.2、表 3.3 に部品メーカー3 社の MTTFd、DC、CCF 等のデータを紹介する。
A 社：制御機器、電子部品を中心とする大手メーカー。自動改札機、ATM（現金自動支払機）など
世の中にない製品を創り出すベンチャー精神がある。近年は液晶テレビのバックライトが知られる。ISO 13849-1:2006 の PL 評価の説明会を開催し取り組み、早くからこの問題に取り組んでいる。
表 3.1 A 社の機器信頼性データ

B 社：制御機器製品、制御装置及びファクトリーオートメーションシステム製品等の製造メーカ
ー。スイッチ、リレー、タイマー、センサ等の機械制御のための機器、これらの組み合わせの制御装置、ファクトリーオートメーションシステム製品、防災関連機器等の製造・販売を行っている。
表 3.2 B 社の機器信頼性データ

25

C 社：大手電気メーカーの中核事業会社の一つで電力・産業システムを製造・設置するグループ
における電機システム[1]及び電子デバイス[2]の 2 部門で中核を成している企業である。ドイツの大手制御機器メーカーとの提携等も行っている。
表 3.3 C 社の機器信頼性データ

表 3.1、表 3.2、表 3.3 の出典：PL の評価方法についての講演会資料（（社）日本工作機械工業会より）

3.2 BG の ISO 13849-1:2006 の PL 計算の手引き
BGIA Report 2/2008 は、機械の安全関連制御システムの構築に関する実用的な応用事例や助言をはじめ数多くの貴重なヒントが盛り込まれている手引きである。
具体的には、制御システムの安全機能に関する要求 PLr の選択、そして実際に達成される PLの決定が詳しく説明され、それぞれの PL を達成するための要求事項と、これに関連するカテゴリ、
コンポーネントの信頼性、診断範囲、ソフトウェアの安全性、系統的故障並びに共通原因故障に対する方策が述べられ、また、要求事項を実際の制御技術で実行するにあたっての背景情報も盛り込まれている。数多くの回路例では、コンポーネントレベルまで掘り下げて、PL「a」から「e」
が、カテゴリ「B」から「4」とともに、採用される技術方式でどのように達成できるかを説明している。また、これらの回路例には、使用される安全原則と十分吟味された安全関連コンポーネントに関する情報も示してある。さらに、各ケースについてより深く理解したい人のために、数多くの参考文献が挙げられている。
本レポートは、ISO 13849-1:2006 の要求事項が実際の技術手法で実行できるものであることを示したものであり、本規格が国内及び国際レベルで統一して適用され、実施されるための重要な手引きとなる。
本調査研究では、これらの理解を深めるため、本レポートの第 1 章～第 7 章の全部及び第 8 章のうち印刷産業機械と関連のある回路の解説箇所を抽出し翻訳（仮訳）を行い参考にした。

26

本報告書では、本レポート第 8 章の翻訳（仮訳）を巻末の資料編に掲載した。
なお、日本語訳の内容及び用語等に関して確認を要する場合には、原本である独文または英文を参照されたい。
BGIA Report 2/2008
http://www.dguv.de/ifa/de/pub/rep/pdf/rep07/biar0208/2_2008.pdf （独文）
http://www.dguv.de/ifa/en/pub/rep/pdf/rep07/biar0208/rep22008e.pdf （英文）3.3 入手可能な PL 計算ソフトの紹介
PL(パフォーマンス・レベル)の評価計算ソフトには、いくつかのものがある。ここでは、4 つのソフトの概要について紹介する。
各ソフトともに、ISO 13849-1 の附属書にある表 C.1 の部品データ(MTTFd,B10d)、表 E.1 の診断範囲データ(DC)、表 F.1 の共通原因故障データ(CCF)が登録されている。
3.3.1 SISTEMA【システマ】 (ドイツ BGIA、英語版、無料)
アドレス：http://www.dguv.de/bgia/en/pra/softwa/sistema/index.jsp
SISTEMA は、ドイツの BGIA(ドイツ職業保険組合・労働安全研究所)が作成したもので、使用する安全部品のデータ(カテゴリ、MTTFd、DCavg、CCF 等)を入力して ISO 13849-1 の PL を評価するソフトである。
3.3.2 PAScal【パスカル】 (ピルツジャパン㈱、日本語版、有料)
アドレス：http://www.pilz.com/index.jsp
PAScal は、ISO 13849-1 の PL と IEC 62061 の SIL の両方の評価が可能なソフトである。また、
ピルツ製品の安全部品のデータが登録されている。
安全機能ブロックの入力、論理、出力ごとに使用する安全部品をライブラリーから選択して入力する。必要に応じて、MTTFd、DCavg、CCF の数値を入力する。
3.3.3 PL Evaluator lite (OMRON㈱、日本語版、無料)
アドレス：http://www.fa.omron.co.jp/product/specia/4/safety_support/contract.html
PL Evaluator lite は、使用する安全部品のデータを入力して ISO 13849-1 の PL を評価する
ソフトである。OMRON 製品の安全部品のデータが登録されている。
安全機能ブロックの入力、論理、出力ごとに使用する安全部品をライブラリーから選択し、
MTTFd、DCavg、CCF の数値を入力する。
3.3.4 Safety Evaluation tool (SIMENS、英語版、無料)
アドレス：http://auromation.siemens.com
Safety Evaluation tool は、ISO 13849-1 の PL と IEC 62061 の SIL の両方の評価が可能なソフトである。このソフトは、インターネット上で使用するようになっており、パソコンにインストールしないでも使用できる。

27

第4章

印刷産業機械における PL 評価の検証について

4.1 PL 評価の検証
4.1.1 目的
設計者が印刷産業用機械の制御回路の安全関連部の PL 評価を行うためには、適切な例題が大きな助けとなる。また、評価は多くの場合、専門の第三者(認証機関)により行われるので、評価者への出す資料の種類、書き方も重要なノウハウである。これらの資料と経験を蓄積することを目的に、代表的な三機種について、回路の設計、認証に必要な書類の作成等を行い、BG に提出して、評価を受けた。
4.1.2 手順及び日程
以下のように、回路、書類を作成し、BG に送付し、評価結果を文書で得た。また、担当者を当委員会に招いて、ISO 13849 全般の講演及び評価結果についての討論を行った。
【選定対象機器及び担当グループ】
・オフセット枚葉印刷機におけるホールドトゥラン機能・デリバリ侵入防止機能・非常停止
押しボタン（A グループ）
・WEB オフセット輪転印刷機の安全カバー停止回路（B グループ）・断裁機のバックゲージ部（C グループ）
実施手順は次のとおりである。
1. 委員会において、PL 評価を行う機種を決め、対応するグループを編成した。(平成 21 年 6
月 18 日)2. グループ別に、安全機能を定め、それに対応する制御回路の安全制御部の回路設計を行った。(平成 21 年 6 月 18 日～10 月 21 日)
回路設計にあたっては、特定の実機の回路ではなく、共通的に使用できうる回路を、委員の知見を基に、共同作業で作成した。したがって、典型的・標準的な回路構成となっている。4.2 に示されるグループ毎のレポートに記述があるが、一部回路は、今後使われる可能性のある先進的なものとしている。
3. 委員会において、各グループが作成の回路図、資料(安全機能説明書、計算書、購入品カタ
ログなど)を説明し、最終確認とした。(平成 21 年 10 月 21 日)
4. 最終確認をした資料（4.2 の(1)）を BG へ送付した。(平成 21 年 10 月 28 日)
5. BG より評価回答書（4.2 の(2)）が、NPO 安全工学研究所経由で届けられた。(平成 21 年 12月 21 日)6. 評価書を検討し、討論会での質疑事項の準備を行った。
7. BG における評価者を招いて講習会を開催した。(平成 22 年 1 月 7 日、図 4.1 参照)

28

8. 評価書、討論結果（4.2 の(3)）を踏まえ、認証取得を想定してレポートを修正した（4.2の(4)）。
２００９年１月７日（木）於：機械振興会館 地下３階「Ｂ３－１号室」
時 間
10：00～

プログラム
福田委員長挨拶
講師紹介

120分

１．ISO 13849-1の説明

午前 12：00～の部 12：30

30分

２．防爆予防の説明

12：30～

10分

－休憩－

60分

３．ISO 13849-1の演習

50分－昼食・休憩－60分

５．ISO 13849-1の質問に対する解説

90分

６．PL評価の妥当性検証の解説・意見交換

10：00～
12：00

講師 Klaus Dieter Becker氏
講師 Mr.Albrecht Gloeckle氏（BGDP予防部門 部門長）

12：40
12：40～
13：40
13：40～

４．SISTEMAの概要説明

14：30
14：30～
15：30
午後 15：30～の部 17：00
17：00

福田委員長閉会挨拶

図 4.1 講習会プログラム

4.2 に上記 3 機種の安全制御回路の評価結果を示す。記載事項は、次のとおりである。
（1）BG への提出レポート（和文、英文）：各機械の危険源から、制御によるリスク低減が妥当なものをいくつかを抽出して、安全制御回路を設計した。回路図及び安全機能の説明、計算書などを作成し、必要に応じてカタログ等を添付し、認証取得と同様な準備を行い、レポートとして BG に提出した。
（2）BG からの指摘（和文、独文の順）：BG から送付された「評価書」をそのまま記載した。
（3）BG との討論内容（4）修正レポート：評価書、討論結果（4.2 の(3)）を踏まえ、認証取得を想定してレポートを修正した結果である。
（5）考察
である。
なお、回路は今回の研究調査のためのものである。また(4)の修正レポートについては、BG
評価書の検討及び討論の結果を受けて作成しているが、BG に提示してはいない。したがって、
修正レポートをもってして認証を取得できることを保証するものではない。この点は、調査研究の目的と制約からくるものである。

29

4.2 印刷産業機械の安全性評価の試行
4.2.1 オフセット枚葉印刷機の安全性評価（Ａグループ）（1）BG への提出レポート【概要】
オフセット枚葉印刷機における代表的な安全機能は次の３点である。
1. 保守メンテナンス作業時にガードを開けてのホールドトゥラン機能
2. 排紙部の人体侵入を制限するデリバリー侵入防止機能
3. 危険時に機械を停止させる非常停止押しボタン

PLb

PLd

PLd

本回路は以上３点の安全性を評価するものである。
【安全機能】
・ ホールドトゥラン機能－回転移動量制限
・ 保護装置起動による安全停止機能－安全なトルクオフ
・ 非常停止機能－非常停止装置の起動による安全なトルクオフ【機能説明】・ カバー安全リレーK2 がカバー開を検出した状態で、センサーB4 の入力による機械の速度を K10 により検出し速度制限内であれば機械は回転する。
ただし、速度オーバーになった場合は速度オーバーリレーK9 が作動し非常停止安全リレーモジュール K3 が主動力源であるマグネットコンタクターMC1 をオフする。
・ 排紙ライトカーテン B1 が人体侵入を検出した場合、安全 PLC の K1 が安全リレーK4、K5
が非常停止安全リレーモジュール K3 を作動し主動力源であるマグネットコンタクター
MC1 をオフすると共に PLC 電源を遮断しインバーターT1 の駆動信号を遮断する。
・ 非常停止押しボタンスイッチ B2 が作動した場合、非常停止安全リレーモジュール K3 が主動力源であるマグネットコンタクターMC1 をオフすると共に安全リレーK8 によりインバーターT1 を無効化する。
【設計の特徴】
・ 非常停止押しボタンスイッチ B2 は IEC 60204-1 に準拠した強制開離接点を持つ
・ 非常停止安全リレーK3 は EN 954 カテゴリ 4 に適応するものである
・

安全カバーリミットスイッチは IEC 60204-1 に準拠した強制開離接点を持つ・ カバー安全リレーモジュール K2 は EN 954 カテゴリ 4 に適応するものである
・ 安全リレーは EN 50205 に適合した強制ガイド接点である（K4、5、6、7、8、9）・ ライトカーテンは EN 954 カテゴリ 4 に適応するものである
・ 安全 PLC は EN 954 カテゴリ 4 に適応するものである

30

Safety evaluation of sheet-fed offset printing press
Group A
【Outline】
There are 3 typical safety functions for a sheet-fed offset printing press.
1. Hold-to-run function, when a guard is opened during a maintenance work. PLb
2. Protective function against a full body access into a delivery area. PLd
3. Emergency stop push-button, which is to stop the printing press in case of emergency. PLd
This circuit diagram is to evaluate the safety of these 3 functions.
【Safety functions】
・ Hold-to-run function – limitation of rotation distance・ Safe stop function by activating a protective device - safe torque off
・ Emergency stop function – safe torque off by activating an emergency stop device【Function description】
・ When Cover safety relay K2 detects an open cover and the machine speed detected by the inputof Sensor B4 and K10 is within the speed limit, the machine runs.
However, if it goes over the speed limit, Overspeed relay K9 is activated and Emergency stop
safety relay module K3 turns off Magnet Contactor MC1 of the main power source.
・ When Delivery light curtain B1 detects a body access, Safety PLC K1 turns on Safety relays
K4, K5 turns on Emergency stop safety relay module K3, and it turns off Magnet Contactor
MC1 of the main power source, and at the same time, shuts off the PLC power and it shuts
off the drive signal of Inverter T1.
・ When Emergency stop push-button switch B2 is activated, Emergency stop safety relay module
K3 turns off Magnet Contactor MC1 of the main power source, and at the same time, Safety
relay K8 deactivates Inverter T1.

【Design features】
・ Emergency stop push-button switch B2 has a positive break of a switch contact to IEC 60204-1.
・ Emergency stop safety relay K3 complies with Category 4 of EN 954.
・ A safety cover limit switch has a positive break of a switch contact to IEC 60204-1.
・ A cover safety relay module K2 complies with Category 4 of EN 954.
・ A safety relay is a positive guide contact to EN 50205 (K4, 5, 6, 7, 8, 9).
・ A light curtain complies with Category 4 of EN 954.
・ A safety PLC complies with Category 4 of EN 954.

31

オフセット枚葉印刷機の安全性評価（回路図）

32

ホールドトゥラン回路ブロック図
HOLD TO RUN
B4

K10

K9

K3

MC1

B4

K10

K9

PLC

T1

機器の信頼性データ
MTTFd and DC about parts.
機器名 PARTS NAME
近接センサー(SENSOR)
安全リレー(SAFETY RELAY)
安全リレー(SAFETY RELAY)
速度検出(SPEED DEVIATION
DETECTION DEVICE)
インバーター(INVERTER)
マグネットコンタクター(MAGNETIC CONTACTOR)

B4
K3
K9
K10
T1
MC1
PLC

型式 PARTS NUMBER

メーカー MAKER

MTTFd（年 YEAR)

B10d

DC(%)

E2E-X2D1-N

オムロン

8.888888889

20,000,000

90G9SA-301-P

オムロン

100

-

99

G7SA-3A1B

オムロン

1,600

400,000

99

-

自社基板

20

-

90

VF-A7

東芝産機

20

-

90

SC-N8

富士電機

4,000

1,000,000

90

20

-

90

オムロン
(OMRON)※1 マグネットコンタクターは、電気的耐久性を B10d として代用する(メーカー推奨)※2 データ入手できない製品は、MTTFd=20 年、DC=90 と仮定する。
※3 近接センサーは、付属書 C-1 表の B10d を使用する。
PLC

CS1H

機器の MTTFd の計算
近接センサー
B10d=

B4 の MTTFd の計算

20,000,000

一日の稼動時間 hop=1

nop=250×1×3,600/0＝22,500,000

一年の稼動時間 dop=

250

MTTFd=20,000,000/(0.1×22,500,000)=8.8888889 年

1 サイクル時間 Tcycle=

0.04

B10d=

400,000

MTTFd=B10d/(0.1×nop)

nop=dop×hop×3600/tcycle※カバー開時のみ作動とする※1 秒間に 25 回作動するとする

安全リレー
K9 の MTTFd の計算

一日の稼動時間 hop=10

nop=250×10×3,600/3600＝2,500

一年の稼動時間 dop=

250

MTTFd=400,000/(0.1×2,500)＝1,600 年

1 サイクル時間 Tcycle=

3,600

B10d=

1,000,000

MTTFd=B10d/(0.1×nop)

nop=dop×hop×3600/tcycle※1 時間に 1 回作動するとする

マグネットコンタクター
MC1 の MTTFd の計算

一日の稼動時間 hop=10

nop＝250×10×3,600/3,600＝2,500

一年の稼動時間 dop=

250

MTTFd=1,000,000/(0.1×2,500)＝4,000 年

1 サイクル時間 Tcycle=

3,600

MTTFd=B10d/(0.1×nop)

nop=dop×hop×3600/tcycle

33※1 時間に 1 回作動するとする

5.767844

3.800475

4.851579

34

0.919959

35

オフセット枚葉印刷機の安全性評価（回路図）

36

排紙安全部ブロック図
DELIVERY LIGHT CURTAIN
B1

K1

K4（K5）

K3

MC1

B1

K1

K4（K5）

PLC

T1

機器の信頼性データ
MTTFd and DC about parts.

B1
K1
K3
K4
K5
T1
MC1
PLC

機器名 PARTS NAME
ライトカーテン(LIGHT CURTAIN)
安全 PLC(SAFETY PLC)
安全リレー
(SAFETY RELAY)
安全リレー(SAFETY RELAY)
安全リレー(SAFETY RELAY)
インバーター(INVERTER)
マグネットコンタクター(MAGNETIC CONTACTOR)

型式 PARTS NUMBER

B10d

DC(%)

F3SJ-AM3P300

メーカー MAKER
MTTFd（年 YEAR)
オムロン
100(OMRON)
オムロン
100
NE1A-SCPU02(OMRON)
オムロン
100
G9SA-301-P(OMRON)
オムロン
1,600
G7SA-3A1B(OMRON)
オムロン
1,600
G7SA-3A1B(OMRON)
東芝産機
20
VF-A7
(TOSHIBA)
富士電機
4,000
SC-N8
(FUJI)
オムロン
20
PLC
CS1H
(OMRON)※1 マグネットコンタクターは、電気的耐久性を B10d として代用する(メーカー推奨)※2 データ入手できない製品は、MTTFd=20 年、DC=90 と仮定する。

-

99

-

99

-

99

400,000

99

400,000

99-

90

1,000,000

90

-

90

機器の MTTFd の計算
安全リレー
B10d=

K4(K5)の MTTFd の計算

400,000

一日の稼動時間 hop=10

nop=250×10×3,600/3,600＝2,500

一年の稼動時間 dop=

250

MTTFd=400,000/(0.1×2,500)=1,600 年

1 サイクル時間 Tcycle=

3,600

B10d=

1,000,000

一日の稼動時間 hop=

10

MTTFd=B10d/(0.1×nop)

nop=dop×hop×3600/tcycle※1 時間に 1 回作動するとする

マグネットコンタクター
MC1 の MTTFd の計算
MTTFd=B10d/(0.1×nop)

nop=dop×hop×3600/tcycle

nop＝250×10×3,600/3,600＝2,500

一年の稼動時間 dop=

250

MTTFd=1,000,000/(0.1×2,500)＝4,000 年

1 サイクル時間 Tcycle=

3,600

37

※1 時間に 1 回作動するとする

32.388668.2901622.71877

38

0.92

39

オフセット枚葉印刷機の安全性評価（回路図）

40

非常停止部ブロック図
EMERGENCY STOP
B2

K3

B2

K3

MC1

K8

T1

機器の信頼性データ
MTTFd and DC about parts.

B2
K3
K8
T1
MC1

機器名 PARTS NAME
型式 PARTS NUMBER
メーカー MAKER
MTTFd（年 YEAR)
非常停止釦
XA1E-BV303R
IDEC
400(EMERGENCY STOP P.B.)
オムロン
安全リレー
100
G9SA-301-P(OMRON)(SAFETY RELAY)
オムロン
安全リレー
1,600
G7SA-3A1B(OMRON)(SAFETY RELAY)
東芝産機
インバーター20
VF-A7(TOSHIBA)(INVERTER)
富士電機
マグネットコンタクター
4,000
SC-N8
(FUJI)(MAGNETIC CONTACTOR)※1 マグネットコンタクターは、電気的耐久性を B10d として代用する(メーカー推奨)※2 データ入手できない製品は、MTTFd=20 年、DC=90 と仮定する。

B10d

DC(%)

100,000

99-

99

400,000

99-

90

1,000,000

90

機器の MTTFd の計算
非常停止釦
B10d=

B2 の MTTFd の計算

100,000

一日の稼動時間 hop=10

nop=250×10×3,600/3,600＝2,500

一年の稼動時間 dop=

250

MTTFd=100,000/(0.1×2,500)=400 年

1 サイクル時間 Tcycle=

3,600

B10d=

400,000

一日の稼動時間 hop=

10

MTTFd=B10d/(0.1×nop)

nop=dop×hop×3,600/tcycle※1 時間に 1 回作動するとする

安全リレー
K8 の MTTFd の計算
MTTFd=B10d/(0.1×nop)

nop=dop×hop×3,600/tcycle

nop=250×10×3,600/3,600＝2,500

一年の稼動時間 dop=

250

MTTFd=400,000/(0.1×2,500)＝1,600 年

1 サイクル時間 Tcycle=

3,600

B10d=

1,000,000※1 時間に 1 回作動するとする

マグネットコンタクター
MC1 の MTTFd の計算

一日の稼動時間 hop=10

nop＝250×10×3,600/3,600＝2,500

一年の稼動時間 dop=

250

MTTFd=1,000,000/(0.1×2,500)＝4,000 年

1 サイクル時間 Tcycle=

3,600

MTTFd=B10d/(0.1×nop)

nop=dop×hop×3,600/tcycle

41※1 時間に 1 回作動するとする

78.43137

15.84158

54.0622642

0.918639

43

（2）BG からの指摘
安全機能： タッピング動作での安全に減速された速度(Hold to run)
- 安全に減速された速度に関するリスクアセスメントの結果和 PLr=d となる。
要求されたパーフォーマンスレベルを達成するためには、冗長な制御構造を適用することに意味がある。
- 安全機能に関する仕様はさらに厳密に記述する必要がある。すなわち、この例では調整(regulate)された駆動システムなのか、制御(control)された駆動システムなのかの区別が判別できない。私の推測では、これは調整駆動システムであり、その場合は、安全な速度の実現には調整の量が関係するため、調整プロセスを配慮する必要がある。
-

その意味は、安全な速度の実現には、駆動システムの要求値をブロックダイアグラムのロジックで示すことが必要とされる。その際、その要求値がインターロック付き保護装
置の開状態に作用するかを明確にすることが要求される。二つ目の回路は、例で示されたように B4、 K10、 K9、 K3 及び MC1 で構成することが可能である。
Sicherheitsfunktion “Sicher reduzierte Geschwindigkeit im Tippbetrieb (Hold torun)”- Das Ergebnis der Risikoanalyse bzgl. der sicher reduzierten Geschwindigkeit ergibt
einen PLr=d. Um den erforderlichen Performancelevel erfüllen zu können, ist es
sinnvoll, auf eine redundanten Steuerungsarchitektur zurückzugreifen.
- Die Spezifikation der Sicherheitsfunktion sollte genauer beschrieben werden. Das
bedeutet, dass aus dem Beispiel nicht ersichtlich ist, ob es um ein geregeltes
Antriebssystem handelt oder um ein gesteuertes Antriebssystem. Sollte es sich um
ein geregeltes Antriebssystem handeln, was ich vermute, ist es sinnvoll, denRegelprozess mit aufgenommen, da zur Realisierung der sicheren Geschwindigkeit die
Regelgröße mitberücksichtigt werden sollte.
Dies bedeutet, dass zur Realisierung der sicheren Geschwindigkeit der erste Weg
mittelbar über die Sollwertvorgabe im Antrieb als logisches Blockschaltbild
dargestellt werden sollte. Wobei zu klären ist, wie der Sollwert bei geöffneter
verriegelter Schutzeinrichtung generiert wird. Der zweite Kanal kann dann, wie im
Beispiel dargestellt, über B4, K10, K9, K3 und MC1 gebildet werden.
Ich werde während meines Vortrages auf Lösungsmöglichkeiten eingehen.

44

（3）ＢＧとの討論内容
・ホールドトゥラン回路
減速された速度のリスクアセスメントを PLrb とした理由について質問を受けた。
ISO 12643-1 6.6 Hold-to-run controls の記載から、防護回路については PLrd、制御については PLrb と解釈したことを説明したが、BG からは「安全速度は PLrd」との指摘だった。
現状回路では速度検出用センサーは汎用品であり、さらにギアを検出し回転制御をするため、１サイクル時間（Tcycle）が非常に小さくなり、その結果 MTTFｄが１桁となってしまい
PLrd は構築できないことになる。
BG との討論ではセンサーが非接触式であること、センサーを２つ使用することから冗長制御となる旨のアドバイスがあり、具体案の提示は無かったが PLd 可能の示唆があった。しかし T cycle が小さいことに変わりはないため、対応案では１日のホールドトゥラン制御運転
時間を現実的な範囲で短くし T cycle を伸ばし、対応する。
また、同センサーの B10d、DC の算出についても説明を求められた。
ISO 13849-1 付属書 C（表 C.1 コンポーネントの MTTFｄ又は B10ｄを扱う国際規格）及び付
属書 E（表 E.1 診断範囲の見積り）からの選出であることを説明したが、DC については単に付属書からの選択であってはならない旨の指摘を受けた。
ブロック図においてもセンサーB4、速度検出装置 K10 が冗長となっていることの誤りを指摘された。
駆動システムについて多くの説明を求められ、回答をした。
・ 排紙安全回路
モーター駆動システムについての説明を求められ、回答をした。
インバーターT1 の DC 算出について説明を求められた。
ホールドツゥラン回路センサーと同様に算出方法に誤りがあることを指摘された。
・ 非常停止回路
システム全体について説明を求められ、回答した。
・ その他
メーカーからの B10d、MTTFd 等の書類に書式があるのかを質問した。
規定書類はないが、何らかのデータシートは欲しいとのこと。

45

（4）修正レポート
オフセット枚葉印刷機【概要】

図 4.2 オフセット枚葉印刷機

オフセット枚葉印刷機は、直接紙等にインキを転写するのではなく、ブランケットと呼ばれるゴムに転写してから紙等にインキを転写するものである。
図 4.2 の機械は４色印刷機を示す。
今回は、枚葉印刷機の危険度の高い安全ガードが開いている状態でのホールドトゥラン回路、
印刷物の排出部の人体侵入を防ぐ排紙部安全回路、非常停止押しボタン回路を評価する。
ホールドトゥラン －カテゴリ 3－ PLd【安全機能】
・ 保護装置によって起動する安全停止機能：安全ガードの開動作によるドライブ停止
・ 安全速度制限：安全ガードが開いている時に制限速度内での動作が可能
・ 寸動モード：安全ガードが開いている時に、寸動ボタンを押している間だけ動作が可能【機能説明】
・ 機械動作中に安全ガードが開いた場合は安全リレーK2 によりガード開状態を検出し非常停止リレーK3 によりインバーター電源 MC１を遮断し、同時に安全リレーK8 によりインバーターT1 のフリーラン信号を起動し機械停止する。
・ 安全ガードが開いている状態では寸動ボタンを押している間のみ機械動作を許可する。
・ 寸動モードでは速度検出センサーB4 及び速度制限装置Ｋ10 により機械速度を検出し、制限を越える速度の場合はスピードオーバーリレーK9 が作動し非常停止リレーK3 によりインバーター電源 MC１を遮断する。
・ 寸動モード時は機械操作モーターの速度検出パルスジェネレーターPG により速度監視を行いインバーターT1 と同期的な閉ループを形成する。
・ インバーターT1 により制限を越えた速度が検出された場合はその情報が PLC に伝達され、PLC から T1 のストップ信号が出力される。

46

【設計特性】
・ 基本及び充分に実証済みの安全原則を守り、カテゴリ B の要求事項を満たす。
・ 速度制限については ISO 12643-1 6.6 Hold-to-run controls に従う。
・ 安全ガードリミットスイッチは IEC 60204-1 に準拠した強制開離接点を持つ。
・ 安全ガード安全リレーモジュール K2 は EN 954 カテゴリ 4 に適応するものである。
・ 非常停止安全リレーモジュール K3 は EN 954 カテゴリ 4 に適応するものである。
・ 安全リレーは EN 50205 に適合した強制ガイド接点である（K6、7、8、9）・ 速度検出装置 K10 により２つのセンサーB4 を診断し、いずれかのセンサーが故障した場
合は速度オーバーと同じ制御となり寸動モードは許可されない。
・ マグネットスイッチ MC1 は十分に実証済みの構成部品である。
・ インバーターT1 は十分に実証済みの構成部品である。

47

オフセット枚葉印刷機の安全性評価（回路図）

48

ホールドトゥラン回路ブロック図
HOLD TO RUN
B4

K10

K9

PG

T1

PLC

K3

MC1

機器の信頼性データ
MTTFd and DC about parts.
PARTS NAMEType

Manufacturer

B10d

MTTFd

DC(%)

B4

SENSORE2E-X2D1-N

OMRON

20000000

88.888890

K3

SAFETY RELAY

G9SA-301-P

OMRON

100

-

99

K9

SAFETY RELAY

G7SA-3A1B

OMRON

400000

1600

99

-

自社基板

－

20

90

TOSHIBA

20-

90

SPEED DEVIATIONK10DETECTION DEVICE

T1

INVERTER

VF-A7

MC1

MAGNETIC CONTACTOR

SC-N8

FUJI

1000000

4000

90

PLC

PLC

CS1H

OMRON

20

-

90

PULSE GENERATOR

TS2622N71E11

TAMAGAWA

－

20

90

PG

※1 マグネットコンタクターは、電気的耐久性を B10d として代用する(メーカー推奨)※2 データ入手できない製品は、MTTFd=20 年、DC=90 と仮定する。
※3 近接センサーは、付属書 C-1 表の B10d を使用する。

機器の MTTFd の計算
近接センサー
B10d=

20,000,000

一日の稼動時間 hop=0.5

nop=250×0.5×3,600/0.20＝2,250,000

一年の稼動時間 dop=

250

MTTFd=20,000,000/(0.1×2,250,000)=88.8888889 年

1 サイクル時間 Tcycle=

0.2

B10d=

400,000

B4 の MTTFd の計算
MTTFd=B10d/(0.1×nop)

nop=dop×hop×3,600/tcycle※カバー開時のみ作動とする※1 秒間に 5 回作動するとする

安全リレー
K9 の MTTFd の計算

一日の稼動時間 hop=10

nop=250×10×3,600/3,600＝2,500

一年の稼動時間 dop=

250

MTTFd=400,000/(0.1×2,500)＝1,600 年

1 サイクル時間 Tcycle=

3,600

B10d=

1,000,000

MTTFd=B10d/(0.1×nop)

nop=dop×hop×3,600/tcycle※1 時間に 1 回作動するとする

マグネットコンタクター
MC1 の MTTFd の計算
MTTFd=B10d/(0.1×nop)

一日の稼動時間 hop=10

nop = 250×10×3,600/3,600＝2,500

nop=dop×hop×3,600/tcycle

一年の稼動時間 dop=

250

MTTFd=1,000,000/(0.1×2,500)＝4,000 年

1 サイクル時間 Tcycle=

3,600

49

※1 時間に 1 回作動するとする

ホールドトゥラン回路の MTTFd の計算
チャンネル 1 の MTTFd の計算
MTTFd(ch1)=

1
⎛
⎞
1
1
1
1
1
⎜⎜
⎟⎟
+
+
+
+
⎝ MTTFd ( B 4) MTTFd ( K10) MTTFd ( K 9) MTTFd ( K 3) MTTFd ( MC1) ⎠
=

=

1
1
1
1
1
1 ⎞
⎛
+
+
+
+
⎜
⎟
⎝ 88.8888889 20 1600 100 4000 ⎠10.01125 + 0.05 + 0.000625 + 0.01 + 0.00025=13.86482 年
チャンネル 2 の MTTFd の計算
MTTFd(ch2)=

1
⎛
⎞
1
1
1
⎜⎜
⎟⎟
+
+
⎝ MTTFd ( PG ) MTTFd (T 1) MTTFd ( PLC ) ⎠
=

=

1
1
1 ⎞
⎛ 1
+ ⎟
⎜ +
⎝ 20 20 20 ⎠1
0.05 + 0.05 + 0.05

=6.666667 年
全体の MTTFd の計算

⎞
⎛
⎟
⎜
2 ⎜
1
⎟
MTTFd(ch1-ch2)= × MTTFd (ch1) + MTTFd (ch 2) −
⎟
1
1
3 ⎜
+
⎟
⎜
MTTFd (ch1) MTTFd (ch2) ⎠
⎝

⎛
⎞
⎟
1
2 ⎜⎜
⎟
= × 13.864818 + 6.666667 −
1
1
3 ⎜
⎟
+
⎜
⎟
13.86481802 6.666666667 ⎠⎝=0.666667 ×(20.5314847 – 4.50197)=10.68634 年
全体の MTTFd の分類条件 10 年≦MTTFd＜30 年によりシステム全体の MTTFd は“MEDIUM”に分類されます。

50

DCavg の計算
DCavg=DC ( B 4)
DC ( K10)
DC ( K 9)
DC ( K 3)
DC ( PLC )DC ( MC1)
DC (T 1)
DC ( PG)
+
+
+
+
+
+
+
MTTFd ( B 4) MTTFd ( K10) MTTFd ( K 9) MTTFd ( K 3) MTTFd ( PLC ) MTTFd ( MC1) MTTFd (T 1) MTTFd ( PG)
1
1
1
1
1
1
1
1
+
+
+
+
+
+
+
MTTFd ( B 4) MTTFd ( K10) MTTFd ( K 9) MTTFd ( K 3) MTTFd ( PLC ) MTTFd ( MC1) MTTFd (T 1) MTTFd ( PG)=

0.9
0.99 0.99 0.99 0.9 0.9 0.9 0.9
+
+
+
+
+
+
+
88.88888889 20 1600 100 20 4000 20 20
1
1
1
1
1
1
1
1
+
+
+
+
+
+
+
88.8888889 20 1600 100 20 4000 20 20= 0.010125 + 0.0495 + 0.000619 + 0.0099 + 0.045 + 0.000225 + 0.045 + 0.045
0.01125 + 0.05 + 0.000625 + 0.01 + 0.05 + 0.00025 + 0.05 + 0.05

= 0.20536875
0.222125

DCavg=0.92456387
DCavg の分類条件 90%≦DC＜99%によりDCavg は“MEDIUM”に分類されます。

51

排紙部ライトカーテン安全 －カテゴリ 3－ PLd【安全機能】・ ライトカーテンによって起動する STO－安全トルクオフ【機能説明】
・ 排紙部ライトカーテン B1 が作動した場合、セーフティ PLC K1 により検出される。
・ B1 作動を検出したセーフティ PLC K1 は安全リレーK4、K5 し非常停止リレーK3 によりインバーター電源 MC1 を遮断し、同時にインバーターT1 のフリーラン信号を K8 により起動し機械停止する。
【設計特性】
・ 基本及び充分に実証済みの安全原則を守り、カテゴリＢの要求事項を満たす。
・ 排紙安全に関しては ISO 12643-2 6.7 Additional safeguarding methods for machine devices
and components に従う。
・ ライトカーテンは EN954 カテゴリ４に適応するものである
・ 非常停止安全リレーモジュール K3 は EN 954 カテゴリ４に適応するものである。
・ 安全リレーは EN 50205 に適合した強制ガイド接点である（K6,7,8,9）・ マグネットスイッチ MC1 は十分に実証済みの構成部品である。
・ インバーターT1 は十分に実証済みの構成部品である。

52

オフセット枚葉印刷機の安全性評価（回路図）

53

排紙安全部ブロック図
DELIVERY LIGHT CURTAIN
B1

K1

K4（K5）

K3

MC1

B1

B1

B1

B1

B1

機器の信頼性データ
MTTFd and DC about parts.
ID

Part NameType

Manufacturer

B10d

MTTFd

DC(%)

B1

LIGHT CURTAIN

F3SJ-AM3P300

OMRON

100

-

99

K1

SAFETY PLC

NE1A-SCPU02

OMRON

100

-

99

K3

SEFETY RELAY

G9SA-301-P

OMRON

100

-

99

K4

SEFETY RELAY

G7SA-3A1B

OMRON

400000

1600

99

K5

SEFETY RELAY

G7SA-3A1B

OMRON

400000

1600

99

T1

INVERTERVF-A7TOSHIBA

20

-

90

MC1

MAGNETIC CONTACTOR

SC-N8

FUJI

1000000

4000

90

PLC

PLC

CS1H

OMRON

20

-

99

※1 マグネットコンタクターは、電気的耐久性を B10d として代用する(メーカー推奨)※2 データ入手できない製品は、MTTFd=20 年、DC=90 と仮定する。

機器の MTTFd の計算
安全リレー
B10d=

K4(K5)の MTTFd の計算

400,000

一日の稼動時間 hop=10

nop=250×10×3,600/3,600＝2,500

一年の稼動時間 dop=

250

MTTFd=400,000/(0.1×2,500)=1,600 年

1 サイクル時間 Tcycle=

3,600

B10d=

1,000,000

一日の稼動時間 hop=

10

MTTFd=B10d/(0.1×nop)

nop=dop×hop×3,600/tcycle※1 時間に 1 回作動するとする

マグネットコンタクター
MC1 の MTTFd の計算
MTTFd=B10d/(0.1×nop)

nop=dop×hop×3,600/tcycle

nop＝250×10×3,600/3,600＝2,500

一年の稼動時間 dop=

250

MTTFd=1,000,000/(0.1×2,500)＝4,000 年

1 サイクル時間 Tcycle=

3,600

54

※1 時間に 1 回作動するとする

排紙安全回路の MTTFd の計算
チャンネル 1 の MTTFd の計算
MTTFd(CH1)=

1
(

1
1
1
1
1
+
+
+
+
)
MTTFd ( B1) MTTFd ( K1) MTTFd ( K 4orK 5) MFFTd ( K 3) MTTFd ( MC1)
=

=

1
1
1
1
1
1
(
+
+
+
+
)
100 100 1600 100 40001
(0.01 + 0.01 + 0.000625 + 0.01 + 0.00025=32.38866 年
チャンネル 2 の MTTFd の計算
MTTFd(CH2)=

1
1
1
1
1
1
(
+
+
+
+
)
MTTFd ( B1) MTTFd ( K1) MTTFd ( K 4orK 5) MFFTd ( PLC ) MTTFd (T 1)
=

=

1
1
1
1
1
1
(
+
+
+
+ )
100 100 1600 20 20

1(0.01 + 0.01 + 0.000625 + 0.05 + 0.05

=8.290155 年
全体の MTTFd の計算

⎛
⎞
⎜
⎟
2
1
⎟
MTTFd(ch1-ch2)= × ⎜ MTTFd (ch1) + MTTFd (ch 2) −
⎜
⎟
1
1
3
+
⎜
⎟
MTTFd (ch1) MTTFd (ch2) ⎠
⎝

⎛
⎞
⎜
⎟
1
2 ⎜
⎟
= × 32.38866 + 8.290155 −
1
1
3 ⎜
⎟
+
⎜
⎟
32.38866397 8.29015544 ⎠⎝=0.666667 × (40.67882 – 6.60066)=22.71877 年
全体の MTTFd の分類条件 10≦MTTFd＜30 年によりシステム全体の MTTFd は“MEDIUM”に分類されます。

55

DCavg の計算
DCavg=DC ( B1)
DC ( K1)
DC ( K 4)
DC ( K 3)
DC ( PLC )DC ( MC1)
DC (T 1)
+
+
+
+
+
+
MTTFd ( B1) MTTFd ( K1) MTTFd ( K 4) MTTFd ( K 3) MTTFd ( PLC ) MTTFd ( MC1) MTTFd (T 1)
1
1
1
1
1
1
1
+
+
+
+
+
+
MTTFd ( B1) MTTFd ( K1) MTTFd ( K 4) MTTFd ( K 3) MTTFd ( PLC ) MTTFd ( MC1) MTTFd (T 1)

0.99 0.99 0.99 0.99 0.9 0.9 0.9
+
+
+
+
+
+
100 1600 100 20 4000 20
= 100
1
1
1
1
1
1
1
+
+
+
+
+
+
100 100 1600 100 20 4000 20=

0.0099 + 0.0099 + 0.000619 + 0.0099 + 0.045 + 0.000225 + 0.045
0.01 + 0.01 + 0.000625 + 0.01 + 0.05 + 0.00025 + 0.05

=0.92106

DCavg の分類条件 90%≦DC＜99%
DCavg は“MEDIUM”に分類されます。

56

非常停止回路 －カテゴリ３－ PLd【安全機能】
・ 非常停止装置の作動による STO－安全トルクオフ【機能説明】
・ 非常停止押しボタン B2 が作動した場合、非常停止安全リレーK3 により検出される。
・ B1 作動を検出したセーフティ PLC K1 は安全リレーK4、K5 し非常停止リレーK3 によりインバーター電源 MC1 を遮断し、同時にインバーターT1 のフリーラン信号を K8 により起動し機械停止する。
【設計特性】
・ 基本及び充分に実証済みの安全原則を守り、カテゴリＢの要求事項を満たす。
・ 非常停止押し機能は ISO 12643-1 10.2.3.1 Emergency stop の要求事項を満たす。
・ 安全バーは ISO 12643-1 6.4 Guarding in-running nips の要求事項を満たす。
・ 非常停止押しボタンスイッチ B2 は IEC 60204-1 に準拠した強制開離接点を持つ
・ 安全バーリミットスイッチは IEC 60204-1 に準拠した強制開離接点を持つ
・ 非常停止安全リレーK3 は EN 954 カテゴリ４に適応するものである
・ 安全リレーは EN 50205 に適合した強制ガイド接点である（K4、5、8、9）・ マグネットスイッチ MC1 は十分に実証済みの構成部品である。
・ インバーターT1 は十分に実証済みの構成部品である。

57

オフセット枚葉印刷機の安全性評価（回路図）

58

非常停止部ブロック図
EMERGENCY STOP
B2

K3

B2

K3

MC1

K8

T1

機器の信頼性データ
MTTFd and DC about parts.
ID

Part NameType

Manufacturer

B10d

MTTFd

DC(%)

B2

EMERGENCY STOP P.B

XA1E-BV303R

IDEC

100000

400

99

K3

SEFETY RELAY

G9SA-301-P

OMRON

100

-

99

K8

SEFETY RELAY

G7SA-3A1B

OMRON

400000

1600

99

T1

INVERTERVF-A7TOSHIBA20-90

MAGNETIC CONTACTOR

SC-N8

FUJI

1000000

4000

90

MC1

※1 マグネットコンタクターは、電気的耐久性を B10d として代用する(メーカー推奨)※2 データ入手できない製品は、MTTFd=20 年、DC=90 と仮定する。

機器の MTTFd の計算
非常停止釦
B10d=

B2 の MTTFd の計算

100,000

一日の稼動時間 hop=10

nop=250×10×3,600/3,600＝2,500

一年の稼動時間 dop=

250

MTTFd=100,000/(0.1×2,500)=400 年

1 サイクル時間 Tcycle=

3,600

B10d=

400,000

MTTFd=B10d/(0.1×nop)

nop=dop×hop×3,600/tcycle※1 時間に 1 回作動するとする

安全リレー
K8 の MTTFd の計算

一日の稼動時間 hop=10

nop=250×10×3,600/3600＝2,500

一年の稼動時間 dop=

250

MTTFd=400,000/(0.1×2,500)＝1,600 年

1 サイクル時間 Tcycle=

3,600

B10d=

1,000,000

一日の稼動時間 hop=

10

MTTFd=B10d/(0.1×nop)

nop=dop×hop×3,600/tcycle※1 時間に 1 回作動するとする

マグネットコンタクター
MC1 の MTTFd の計算
MTTFd=B10d/(0.1×nop)

nop=dop×hop×3,600/tcycle

nop＝250×10×3,600/3,600＝2,500

一年の稼動時間 dop=

250

MTTFd=1,000,000/(0.1×2,500)＝4,000 年

1 サイクル時間 Tcycle=

3,600

59

※1 時間に 1 回作動するとする

非常停止回路の MTTFd の計算
チャンネル 1 の MTTFd の計算
MTTFd(ch1)=

1
1
1
1
(
+
+
)
MTTFd ( B 2) MTTFd ( K 3) MTTFd ( MC1)
=

=

1
1
1
1
(
+
+
)
400 100 40001
(0.0025 + 0.01 + 0.00025)=78.43137 年
チャンネル 2 の MTTFd の計算

1

MTTFd(ch2)=

(

1
1
1
1
+
+
+
)
MTTFd ( B 2) MTTF ( K 3) MTTFd ( K 8) MTTF (T 1)
1

=

(
=

1
1
1
1
+
+
+ )
400 100 1600 20

1(0.0025 + 0.01 + 0.000625 + 0.05)=15.84158 年
全体の MTTFd の計算

⎛
⎞
⎜
⎟
2 ⎜
1
⎟
MTTFd(ch1+ch2)= × MTTFd (ch1) + MTTFd (ch2) −
⎟
1
1
3 ⎜
+
⎜
⎟
MTTFd (ch1) MTTFd (ch2) ⎠
⎝

⎛
⎞
⎟
1
2 ⎜⎜
⎟
= × 78.43137 + 15.84158 −
1
1
3 ⎜
⎟
+
⎜
⎟
78.43137255 15.84158416 ⎠⎝=0.666667 × (94.27296 - 13.17957)=54.06226 年
全体の MTTFd の分類条件

30 年≦MTTFd＜100 年によりシステム全体の MTTFd は“HIGH”に分類されます。

60

DCavg の計算

DC ( B 2)
DC ( K 3)
DC ( K 8)
DC ( MC1)
DC (T 1)++++
MTTFd ( B 2) MTTFd ( K 3) MTTFd ( K 8) MTTFd ( MC1) MTTFd (T 1)
DCavg=
1
1
1
1
1
+
+
+
+
MTTFd ( B 2) MTTFd ( K 3) MTTFd ( K 8) MTTFd ( MC1) MTTFd (T 1)

0.99 0.99 0.99
0 .9 0 .9++++= 400 100 1600 4000 20
1
1
1
1
1
+
+
+
+
400 100 1600 4000 20=

0.002475 + 0.0099 + 0.000619 + 0.000225 + 0.045
0.0025 + 0.01 + 0.000625 + 0.00025 + 0.05=

0.058219
0.063375

DCavg=0.918639

DCavg の分類条件 90%≦DC＜99%によりDCavg は“MEDIUM”に分類されます。

61

（5）考察まず感じたことは機能説明不足である。
電気図面が複雑であったことも理解し難かった原因と思われる。
図面は製品図面とは別の正確且つ簡易的な図面で機能ポイントが抑えられたものを準備する
必要があり、機能説明は BGIA レポートと同等かそれ以上のものが必要である。
次に B10d、DC の算出方法であるが基本的に装置メーカーからのレポートがあれば対応が容易であることを実感した。これは製品がメーカーで対応していることを意味し、同時にコストアップが懸念される。
メーカーからの書類については、規定書式は無いとのことからカタログ記載の内容程度で良いのかメーカーからのデータシートを必要とするのかは明確ではない。逆にメーカーレポートが無い製品については認証不可能では無いが B10d、MTTFd、DC の数値を証明できる準備と説明が必要となる。
インバーターの DC 算出にあるように ISO 61800-5 準拠の冗長性があり、パルスブロック機能を持ったインバーターが推奨されるが現状では国内では対応機種が少ない。
また、改めて規格 ISO 12643 の解釈の重要性を感じた。
ホールドトゥラン制御での防護回路は PLrd であることを認識していたが、制御回路は PLrbとのことから速度制御についても b と解釈していたが間違いであることを指摘された。
以上のことを踏まえ、今回の検証結果によるポイントは、① 理解し易い図面であること② 充分な機能説明があること③ 費用対効果を考慮した PL 対応製品の使用である。
上記３点を踏まえ準備することが認証への近道と考える。

62

4.2.2 WEB オフセット輪転印刷機の安全性評価（B グループ）（1）BG への提出レポート
安全カバー停止回路 Cat３ PLd
安全カバー位置につての冗長回路をハードワイヤーと PLC とで構成する内容である。
安全カバーを開くとメインモーター停止する。
機械が低速(この場合 100rpm 以下)の場合は、停止回路はバイパスされるので安全カバーを開いても停止しない。

Position monitoring of a moveable guard (STO) – Category 3 – PL dFigure:Redundant position monitoring of a moveable guard employing diversity in its technicalimplementation (electromechanical and programmable electric)．
When a safe cover opens, a main drive stops. The motor does not stop even if the opena cover if a machine turn is low (less than 100rpm).
WEB オフセット輪転印刷機の安全性評価（回路図）

63

保護装置の安全停止機能：
安全カバーの動作は、リミットスイッチにて行なわれます。
安全カバーが開くと停止が機能します（安全なトルク）。
Safety function:
Safety-related stop function, initiated by a protective device:
Actuation of the limit switch when the moveable guard (safety guard) is opened initiates
the safety function STO (safe torque off).

K2

K2

Q1

K1

Q3

K3

TG

T1

Block-diagram Position monitoring of a moveable guard (STO)【機能】
安全カバーが開くとリミットスイッチ B1、B2 が作動し、リレーQ1 が OFF し回転中のモーターM
は、停止する。
モーター回転は、安全 PLC により 100rpm 以下かの速度検知を行うため、カバーが開いてもモー
ターは、回転可能となる。
【設計】
モーター動作の Q1 リレーは、安全カバーB1、B2 のリミットスイッチによりオフするが、PLCもモニターしているので PLC からも停止可能。
T1 インバーターの停止は、Q3 によって行う。
この冗長により停止カテゴリ０、１が可能。
これは、カテゴリ３ PL レベルは d を満足する。
Functional description:
When safety cover (B1 or B2) is opened while the motor is running (the machine is operated),
relay Q1 becomes OFF and the machine drive motor M stops.
Since the safety PLC detects the speed of motor M falling below 100 rpm, the motor can
run even if the cover is opened. Safety cover open switch also serves as open/close drive
switch for cleaning purpose.
64

Design features:
Motor drive relay Q1 becomes OFF by B1 or B2 limiting operation, but since PLC monitors
the contact, it can stop with PLC.
Inverter T1 is activated and stopped with Q3.
Redundancy is provided for the inverter with stop category 0 and 1.
This SRP/CS satisfies category 3, performance level d.
【計算】
故障の除外は、2 個の安全カバーのリミットスイッチ B1、B2 により Q1、Q3 を直接開閉する。
Q1、Q3 の B10d は、誘導負荷 2,000,000 を使用。
50％の故障が危険側と考えると B10d は 2 倍となる。
Q1、Q3 の MTTFd は、3,333 年よって 100 年の MTTFd となる。
PLC

K2 は、安全認証品より 100 年、PLC

K1

は、20 年、インバーターT1 は MTTFd

10 年を

使用する。
1 チャンネルの K2、Q1 の組み合わせは、MTTFd97.09 年。
2 チャンネルの組み合わせ、K2、K1、Q3 及び T1 は MTTFd6.24 年。
平均化より、両方に適応される MTTFd は 64.98 年で MTTFd hight を得る。

DCavg：PLC

K2 の DC は 99％、PLC

K1 は 60％。安全リレーQ1、Q3 は強制ガイド接点付きでDC 99％。インバーターT1 は 60％を得て、結果 DC 64.71％ Low を得る。
CCF

75 ポイント

制御要素の組合せは、MTTFd hight（64.98 年）と Dcavg low（64.71%）でカテゴリ３と一致する。これは、毎時 1.84E-7 の危険平均確率になる。
これは、PL d と一致する。
Calculation of the probability of failure:

MTTFd: fault exclusion is possible for the electrical contact of the cover switch B1 andB2 with direct opening contact. For the contactors Q1 and Q3, the B10 value under inductive
load (AC3) corresponds to an electrical life of 2,000,000 switching operations [M]. If
50% of failures are assumed to be dangerous, the B10d value is produced by doubling of
the B10 value. The above assumed value for nop results in an MTTFd of 3,333 years for Q1
and Q3. An MTTF value of 100 years [M] is substituted for the PLC (K2), an MTTF valueof 20 years [M] is substituted for the PLC (K1), and an MTTF value of 10 years [M] is
substituted for the Frequency inverter (T1).
The combination of K2 and Q1 results in an MTTFd of 97.09 years for the first channel;
K2, K1, Q3 and T1 contribute to an MTTFd of 6.24 years in the second channel. Altogether,
the MTTFd value symmetrized over both channels is 64.98 years per channel (high).
DCavg: The DC of 99% for the PLC (K2), and the DC of 60% for the PLC (K1). The DC of 99%
for the safety relay Q1 and Q3 is derived from readback via mechanically linked contact
elements. The DC of 60% for the frequency inverter T1. Averaging thus results in a DCavgof 64.71% (low).
Adequate measures against common cause failure (75 points)

65

The combination of the control elements corresponds to Category 3 with a high MTTFd (64.98
years) and low DCavg (64.71%). This results in an average probability of dangerous failureof 1.84E-7 per hour. This corresponds to PL d.
（2）BG からの指摘
これは回転印刷機の特殊な機能を記述していると推測する。
安全機能の使用に明記されなければならない。生産技術の観点から折り畳み機が生産の開始時に、人の介入が必要とされる場合（例えば不良品の撤去）、インターロック付き保護装置を8m/min(シリンダーの付随的速度)の速度範囲まで、機械の運転を中断することなく開くことができる。その場合、同時にすぐ近くに保護装置につながるスイッチが動作されることが条件となる。
保護装置を開ける際に、スイッチを動作すると危険な動きは最短で停止状態に導かれなければならない。これは保護装置が複数あり、その上位にここの保護装置を監視する駆動スイッチがある場合でも適用できる。
安全な減速は最低 PLr=d に合致しなければならない。安全に減速された速度とは、タコジェ
ネレータの単一故障が、タッピング動作での許容されない速度に達しないことを意味する。この例では、タコジェネレータの信号が調整量及び監視回路用として使用されている(K2 へのフィードバック)。タコジェネレータ信号の単一故障においてタッピング動作の安全な速度は保障されていない。
さらに指摘点として、通常の PLC K1 が単独で、安全な速度の実現を担っていることで、これは要求地及び直接 K2 により読み取られることで監視の役割も果たしている。
この回路図からは、どの安全機能が定量化されるのか明確でない（推測では、安全な速度に関するものと思われる）。
残念ながら安全リレーK2 に関する情報が欠如している。
故障検知の方策があれば、PLC K1 には DC=60%しか適用できない。インバーターの T1 についても同様である。この例では診断方策が記述されていない。

-

Ich vermute hier wird eine besondere Funktion einer Rotationsdruckmaschinebeschrieben. Dies sollte aus der Spezifikation der Sicherheitsfunktion
deutlich hervorgehen. Ist aus produktionstechnischen Gründen am Falzwerk in
der Anlaufsphase der Produktion ein Zugriff erforderlich (z.B. Entnahme vonFehlprodukten), so ist es zulässig, dass die verriegelte Schutzeinrichtung
bis zu einer Geschwindigkeit von 8m/min (Tangentialgeschwindigkeit der
Zylinder) ohne Unterbrechung des Maschinenlaufs geöffnet werden kann,solange gleichzeitig ein in unmittelbarer Nähe der Schutzeinrichtung
angeordneter Taster betätigt wird. Nach Loslassen des Tasters bei geöffneter
Schutzeinrichtung muss die gefahrbringende Bewegung auf kürzestem Weg zum
Stillstand kommen. Dies ist auch für mehrere Schutzeinrichtungen zulässig,
solange für jede Schutzeinrichtung der zugeordnete Taster betätigt wird. Die
sicherreduzierte muss mindestens dem PLr=d entsprechen. Sicher reduzierte
Geschwindigkeit bedeutet, dass ein Fehler des Tachogenerators nicht zu einer
66unzulässigen Geschwindigkeit im Tippbetrieb führen darf. In dem Beispiel
wird das Tachosignal sowohl als Regelgröße als auch für den Überwachungskanal
genutzt (Feedback zu K2). Bei einem Fehler des Tachosignals wäre die sichere
Geschwindigkeit im Tippbetreib nicht sichergestellt.
Ferner muss darauf hingewiesen werden, dass die Standard SPS K1 alleinig für
die Realisierung der sicheren Geschwindigkeit verantwortlich ist, da sie
sowohl den Sollwert bildet als auch die mittelbar durch das Zurücklesen vonK2 für die Überwachung zuständig ist.
Aus dem Blockschaltbild geht nicht eindeutig hervor, welche
Sicherheitsfunktion quantifiziert wurde. (Ich nehme an, es handelt sich um
die sichere Geschwindigkeit).
- Leider liegt keine Information bzgl. dem Sicherheitsrelais K2 vor.
- Für die SPS K1 kann nur ein DC=60% vergeben werden, wenn Maßnahmen zur
Fehlererkennung ergriffen wurden. Das gleiche gilt für den Umrichter T1. In
dem Beispiel sind die Diagnosemaßnahmen nicht beschrieben.
(3) BG との討論内容
・ BG：これは、何について評価するかが明確ではなかった。
・ 委員：回路目的を説明
WEB 機は大型なので、PLC リンクシステムを使用する場合が多い。
この場合、1 つの PLC とみなして良いか？
また、機械速度が低い時、カバーを開けても停止させないバイパス回路は、モーターPG を使用して PLr を達成できるか？である。
・ BG：内容は、分かるがまず説明が不足である。
安全回路の仕様があるはず。これを十分に記述して欲しい
PLC のリンクは、どういうものかが不明である。十分データが保証されているか？
など説明の記述が欲しい。
速度検出は、PG で行なっているが、単一故障を検出できない。
MTTFｄの計算についても、根拠となるデータがない。
・ 委員：PLC リンク詳細説明については、了解。
PG の故障検出だが、2 出力あるので可能である。診断率は上げることができる。
・ BG：PG の故障検知が可能なら、その動作を記述して欲しい。
文面には、何も記述がないので、もっと詳しく記述して欲しい。
停止のバイパスは、その後どうなるのか？ また、スイッチはなにか？
・ 委員：カバー開閉のインターロックである。カバーが開いている時のみバイパス可能としている。
＊この後、速度制限と寸動速度制限の話や、カバーを開くスイッチと起動ボタンの関係など操作面でどういう動きになるのか？というシステム的なことになった。
結局、バイパス回路単独の検証では無理と理解した。周辺を合わせた安全性を説明するべきと理解した。

67

(4) 修正レポート
安全カバー停止回路

B1

B2

M

図 4.3 Web オフセット輪転印刷機【概要】
印刷ユニットのカバーは、機械が運転中（安全速度以上）で開けると主原動モーターを停止させて、機械停止を行う。
また、ローラーの洗浄や保守のため、安全速度以下では、安全カバーが開いても主原動モー
ターは、動作可能である機能が要求される。
本回路例は、停止回路とそのバイパス回路の PL を診断しようとするものである。
停止回路の安全要求は、カテゴリ３

PLrd

ミューティングは、印刷ユニットには、停止ボタンがあることからカテゴリ 2 PLb とした。
（機械速度制限は、別途 EN 1010-1 で要求あるため除外）

図 4.4 安全カバー動作構成

68WEB オフセット輪転印刷機の安全性評価（回路図）

69

Q2

K1

Q3

T1

Q3

T1

安全カバー停止ブロック

K1

停止ミューティングブロック【安全機能】
・ 保護装置によって起動する安全関連停止機能：
安全ガードが開くことで安全機能 STO－安全トルクオフする。
・ミューティング機能：
プロセスの機能としての保護装置の一時的なミューティング。
起動/再起動インターロックのようなさらなる安全機能は、以下の詳細では扱わない。
【安全機能の説明】
印刷ユニットは、安全カバー（安全ガード）によって安全防護している。
安全ガードの開動作は、常時閉接点/常時開接点の組み合わせからなる位置スイッチ B1/B2 が検知
し、PLC
PLC

K1 が評価する。
K1 は、危険な動作や状態を遮断または防止する 2 つの接触器 Q1 及び Q2 を作動させる。

異常検出のために、全ての位置スイッチの状態を第 2 接点が制御を主目的とする標準 PLC K１に入力される。
異常の場合、PLC

K1 と独立して接触器 Q1 及び Q2 を OFF させることができる。

Q1 及び Q2 の異常は、PLC

K1 で検出される。

PLC と PLC を接続するリモートバスは、信号の伝達エラーを予防または、検知可能なシステムをとっている。伝達エラーは、データの損失、異常データの挿入、伝達順序の誤り、伝送データの崩れがある。これらは、ID の付加、CRC チェック、サムチェックなどの技術で防止されている。
さらに、伝達遅れに関しては、応答時間監視、応答メッセージ確認を行い防止している。これらの、監視により異常が検知された場合は、各 PLC の出力は、安全側論理に切り替わる安全対策を採っている。
B1/B2 は、強制乖離機構のリミットスイッチであるため、閉状態で故障はない。
構成部品の故障の場合に安全機能が維持される。

70

【ミューティング】
モーターPG により機械速度を監視する。モーター用インバーターは、PG の 2 つのパルスを監視している。また、PLC K2 においても PG から送られる 2 つのパルスを監視している。PG から出される 2 つのパルスは、９０度位相差を持って出力されておりその位相差の論理を判別することで故障検知機能を達成させることができる。
これにより、PG の故障は、検知される。モーター速度が安全速度以下になると、安全速度検出器 K2 が検出し、内部安全リレーを ON にする。
安全速度以下でも、安全カバーリミットが働くとモーターは、停止する。
安全カバーを動作させるスイッチ S1 によって安全カバーを開けることによって、安全速度以下でのモーター停止をミューティングできる。
速度とスイッチの 2 重安全である。
【設計の特徴】
強制乖離機構のリミットスイッチの使用（IEC 60947-5-1 付属書 L による機械的に連結した接点）
安全速度検出ユニットの採用（ISO 13849-1 PLd 認証取得品）
リミットスイッチの作動のために保護装置の安定した配置。
リミットスイッチへの配線は、別々に配線または保護されている。
【故障確率計算】
機器データ及び計算は、計算書参照。
機能ブロック図より、MTTFd の算出を行う。
チャンネルⅠ
故障の除外は、2 個の安全カバーのリミットスイッチ B1、B2 により Q1 を直接開閉する。
Q1 の B10d は、誘導負荷 2,000,000 となる。
Q1 の MTTFd は、3,333 年よって、チャンネル１は 100 年の MTTFd となる。
チャンネル２汎用 PLCK1 は、メーカーからのデータがないので、付属書より 10 年を採用する。
リレーQ3 は、電磁接触器で、B10d 2,000,000 より MTTFd 3,333 年となる。
汎用 PLCK1 は、メーカーからのデータがないので、付属書より 10 年を選択。
インバーターT1 は、メーカーからのデータがないので、付属書より 10 年を選択よって、
チャンネル２の MTTFd は、5 年となる。
平均化
安全機能ブロック図の平均化は、規格書からの計算で行う。
上記からの計算結果より、66 年となり、MTTFd hight を得る。

71【ミューティング】
PG は、付属書より 10 年を選択し、K2 は安全モジュールより 100 年となる。
カバー開閉スイッチは、付属書と稼動より計算すると、83 年となり総合的には、8 年とな
り、MTTFd Low を得る。

DCavg：PLC

K2 の DC は、安全 PLC でメーカーデータより 99％。

PLC

K1 は、規格書より 60％を使用。

安全リレーQ1、Q2、Q3 は強制ガイド接点付きで規格書より DC 99％。
インバーターT1 は、規格書より 60％を使用。
結果 DC 60％ Low を得る。
【部品データ】
Tcycle：操作の時間間隔

3600 秒/回

3600 秒Hop

20 時間/日

20 時間：一日の稼動時間

Dop ：年間の稼動時間

No

記号

名称

1

B1

リミットスイッチ

300 日/年 300 日

メーカー
オムロン

型式

B10d

MTTFd

DC

D4N

20,000,000

33333

99

他
ISO 13849-1：2006
Annex

2

B2

リミットスイッチ

オムロン

D4N

20,000,000

33333

99

3

Q1

コンタクタ

富士電機

SC7

2,000,000

3333

99

4

Q2

安全リレー

オムロン

G7S

2,000,000

3333

99

5

Q3

安全リレー

オムロン

G7S

2,000,000

3333

99

ISO 13849-1：2006
Annex

富士電機

AH22

100,000

83

60

K1

PLC

オムロン

CJ1

10

60

C

ISO 13849-1：2006
Annex

7

C

ISO 13849-1：2006
Annex

押しボタン

C

ISO 13849-1：2006
Annex

S1

C

ISO 13849-1：2006
Annex

6

C

C

ISO 13849-1：2006
Annex

C

8

K2

安全 PLC

オムロン

G9SX

100

99

メーカーデータ

9TG

エンコーダー

多摩川

OIH

10

60

ISO 13849-1：2006
Annex

10

T1

インバーター

富士電機

VG7S

10

60

ISO 13849-1：2006
Annex

72

C
C

MTTFd
カバー
MTTFd
CH1

3333
Q2

K1

Q3

MTTFd

MTTFd

MTTFd

10

3333

10

CH2

T1

CH1
１

1

3333＝

＝
1/Q2

1/3333

CH2
１

１

6.65＝

＝
1/k1＋1/Q3＋1/T1

1/20＋1/3333＋1/10
１66.7＝2/3（ CH1＋CH2－）
1/CH1＋1/ch2
１＝2/3（ 100＋6.65-）
1/100＋1/6.65

ミューティング
TG

K2

S1

MTTFd

MTTFd

MTTFd

10

100

10

１
8＝

１
＝

1/TG＋1/k2＋1/S1

1/10＋1/100＋1/10

73

DC

DC:99
Q2

K1

Q3

DC:60

DC:99

T1
DC:60

0.99/3333＋0.6/10＋0.99/3333＋0.6/10
60％＝1/3333＋1/10＋1/3333＋1/10

DC:60

DC:99

TG

K2

DC:60
S1

0.6/10＋0.99/100＋0.6/10
62％＝1/10＋1/100＋1/10【結果】＊CCF 評価は、今回のレポートでは除く。
安全回路部は
MTTFd ： Hight Dcavg：Low となり PLrｄの要求を満たす。
ミューティング
MTTFd ：Low Dcavg：Low となり PLrb の要求を満たす。
(5) 考察修正した回路と説明文は、まだ不足感がある。
記述とバックデータの説明不足は感じている。
BG より指摘された点は、十分理解したが安全設計思想を根拠を持って記述するのは難しい。
また、分かりやすく説明すべきなので、構造などの絵を使うなど工夫はしたかったが、時間や絵の権利の問題もあって割愛した。
少なくとも、安全設計仕様書は作成しておかなければならない。
サンプルで今回作成したが、ねらいがぼけてしまった感じがある。
レポート作成の書式がないと書きづらい。
今回 BG のサンプル書 BGIA Report 2/2008e を参考にできたのが助かった。

74

4.2.3 断裁機のバックゲージ部の安全性評価（C グループ）(1) BG への提出レポート
C グループでは、PLd と PLe の２つの回路案について評価を行った。
それぞれ和文と英文があり、①～④の章分けで記載した。
① PLd 回路案の和文② PLe 回路案の和文③ PLd 回路案の英文④ PLe 回路案の英文
現状の断裁機の PLr は PLd で良いと思われるが、会社の方針、設計者の考え方、また、将来的に、機械の高速化、大型化に伴って PLe に対応しなければならない可能性があり、PLd の回路例の他、PLe で設計する場合の一例も挙げてみた。

① 断裁機のバックゲージ部の PL 評価について Cat.3 PLd1）概要
バックゲージとは、製本時に紙を断裁する際、所定の寸法で切断するための紙揃えの当てである。裁断したい寸法の場所にバックゲージを移動させ、切りたい紙などをバックゲージに当てて紙などを揃えて、ナイフスイッチを押して、それを切るというのが裁断工程である。
本評価では、裁断機のうちバックゲージ部の PL 評価を行う。

図 4.5 断裁機75

断裁機（回路図／PLd）

76

2）安全機能保護装置によって起動する安全関連停止機能A) ライトカーテン
ライトカーテンが人体を検出すると、STO 機能によりバックゲージのモーターを停止させる。
B) 非常停止スイッチ
非常停止スイッチが押されると、STO 機能によりバックゲージのモーターを停止させる。
C) 可動式ガード
可動式ガード（安全ガード）が開くと、STO 機能によりバックゲージのモーターを停止させる。
D) ロック式安全ガード
可動式ガード（安全ガード）が開く、または、安全ガードが解錠されると、STO 機能に
よりバックゲージのモーターを停止させる。

A) ライトカーテン
K3
K10

T1

K10

T1

K10

T1

K10

T1

K4
B) 非常停止スイッチ
S1C) 可動式ガード
S2

S3D) ロック式安全ガード
S4
S6

77

3）機能の説明
A) ライトカーテン
ライトカーテンの PH1 が物体を検出する、または、自己診断機能によりライトカーテン
自体の不具合を検出すると、異常接点 K3/K4 が開き、AC サーボドライブ T1 は、安全モ
ジュール K10 からの STO 出力 O44/O54 により安全トルクオフされる。
B) 非常停止スイッチ
非常停止スイッチが操作され接点が開いたことを安全モジュール K10 が検出すると、AC
サーボドライブ T1 は、O44 と O54 により安全トルクオフされる。
C) 可動式ガード
可動式ガード（例：安全ガード）が開いたことを 2 位置スイッチ S2／S3 が検出すると、
AC サーボドライブ T1 は、安全モジュールからの STO 出力 O44／O54 により安全トルクオ
フされる。
D) ロック式安全ガード
ロック式安全ガードの解錠検出接点 S4 が開くか、または、リミットスイッチ S6 により安全ガードが開いたことを検出すると、AC サーボドライブ T1 は、安全モジュールからの STO 出力 O44／O54 により安全トルクオフされる。
4）設計特性・基本及び十分に実証済みの安全原則を守り、カテゴリ B の要求事項を満たす。
・位置スイッチ S2/S3 への配線は、別々に配線または保護されている。
・位置スイッチ S4/S6 への配線は、別々に配線または保護されている。
・位置スイッチ作動のために保護装置の安定した配置を確保する。
・非常停止スイッチ S1 は、EN ISO 13850 に対応する。
ポジションスイッチ S3/S6 は、IEC 60947-5-1 付属書 K による強制開離機構を有する。
・安全モジュール K10 は、EN954-1(カテゴリ 4)と IEC/EN61508(SIL3)を満たす。
・AC サーボアンプ T1 は PLd に適合する。
・AC サーボアンプ T1 の不具合は安全モジュール K10 により検出され、O44／O54 の出力を切る。安全ユニット K10 の故障は K10 自身の機能により検出される（プロセスによる故障検出）。

785）推定故障率の計算
各部品の MTTFd と DC

No.

ID

Name

1
2
3
4

K3/K4
K10
T1
S1

5

S2/S6

Safety Relay
Safety Module
Servo Amp.
Emergency Stop
SwitchSafety Limit
SwitchManufac-turerOmron Corp.
Omron Corp.
Omron Corp.
Omron Corp.

Type

B10d
20,000,000--100,000

MTTFd[Year]
204082
100
85
1024

DC
[%]
99
99
87
99

G7S-3A3B
G9SX-GS226
R88D-KT
A22E-M-02

Omron Corp.

D4N-□A20

2,000,000

10204199

1. K3/K4
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd1 ＝ B10d / 0.1×Nop ＝ 20,000,000
DC1

980

/ 0.1×980 ＝ 204082 years= 99%

2. K10 MTTFd2 ＝

100 years

DC2

= 99%

DC3

= 87％

Manufacturer spec.
3. T1

MTTFd3 ＝85 years

Manufacturer spec.
4. S1
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd4 ＝ B10d / 0.1×Nop ＝ 100,000 /
DC4

980

0.1×980 ＝ 1024 years= 99％

5. S2/S6
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 8times) ＝ 1960

MTTFd5 ＝ B10d / 0.1×Nop ＝ 2,000,000 /
DC5

= 99％

79

0.1×1960 ＝ 102041 years6）PL 計算結果
PL 判定結果

No.

MTTFd [year]

DCavg

Safety Category

CCF

PL

A

46

0.925

3

65＜

d

B

44

0.928

3

65＜

d

C/D

46

0.925

3

65＜

d

MTTFd
A)
1

1

1/MTTFd1 + 1/MTTFd2 + 1/MTTFd3

1/204082 + 1/100 + 1/85

11

1/MTTFd4 + 1/MTTFd2 + 1/MTTFd3

1/1024 + 1/100 + 1/85≒

46 year≒

44 year≒46 year

B)

C/D)
1

1

1/MTTFd5 + 1/MTTFd2 + 1/MTTFd3

1/102041 + 1/100 + 1/85

DCavg
A)
DC1/MTTFd1+DC2/MTTFd2+DC3/MTTFd3

0.99/204082+0.99/100+0.87/85

1/MTTFd1 + 1/MTTFd2 + 1/MTTFd3

1/204082 + 1/100 + 1/85
≒ 0.925

B)
DC4/MTTFd4+DC2/MTTFd2+DC3/MTTFd3

0.99/1024+0.99/100+0.87/85

1/MTTFd4 + 1/MTTFd2 + 1/MTTFd3

1/1024 + 1/100 + 1/85
≒ 0.928

C/D)
DC5/MTTFd5+DC2/MTTFd2+DC3/MTTFd3

0.99/102041+0.99/100+0.87/85

1/MTTFd5 + 1/MTTFd2 + 1/MTTFd3

1/102041 + 1/100 + 1/85
≒ 0.92580

AC サーボアンプ T1 の仕様 1

81

AC サーボアンプ T1 の仕様 282

② 断裁機のバックゲージ部の PL 評価について Cat.3 PLe
1）概要
バックゲージとは、製本時に紙を断裁する際、所定の寸法で切断するための紙揃えの当てである。裁断したい寸法の場所にバックゲージを移動させ、切りたい紙などをバックゲージに当てて紙などを揃えて、ナイフスイッチを押して、それを切るというのが裁断工程である。
本評価では、裁断機のうちバックゲージ部の PL 評価を行う。

図 4.6 断裁機

83

断裁機（回路図／PLe）

84

2）安全機能保護装置によって起動する安全関連停止機能A) ライトカーテン
ライトカーテンが人体を検出すると、AC サーボアンプ T1 は、接触機 K6/K7 により電源OFF される。
B) 非常停止スイッチ
非常停止スイッチが押されると、AC サーボアンプ T1 は、接触機 K6/K7 により電源 OFF
される。
C) 可動式ガード
可動式ガード（安全ガード）が開くと、AC サーボアンプ T1 は、接触機 K6/K7 により電源 OFF される。
D) ロック式安全ガード
可動式ガード（安全ガード）が開く、または、安全ガードが解錠されると、AC サーボア
ンプ T1 は、接触機 K6/K7 により電源 OFF される。

A) ライトカーテン
K3

K6
K10
K7

K4
B) 非常停止スイッチ

K6
S1

K10
K7

C) 可動式ガード
K6

S2
K10

K7

S3

D) ロック式安全ガード
S4

K6
K10

S6

K7

85

3）機能の説明
A）ライトカーテン
ライトカーテンの PH1 が物体を検出する、または、自己診断機能によりライトカーテン自体の不具合を検出すると、異常接点 K3/K4 が開き、安全モジュール K10 が接点の開状態を検出し、K6/K7 を作動させ、AC サーボドライブ K10 の電源が切りとなる。
B）非常停止スイッチ
非常停止スイッチが操作され接点が開いたことを安全モジュール K10 が検出すると、AC
サーボドライブ T1 は、K6/K7 により電源が切りとなる。
C）可動式ガード
可動式ガード（例：安全ガード）が開いたことを２位置スイッチ S2/S3 が検出すると、AC
サーボドライブ T1 は、開状態を検出した安全モジュール K10 からの出力により K6/K7 が開き、電源が切りとなる。
D）ロック式安全ガード
ロック式安全ガードの解錠検出接点 S4 が開くか、または、リミットスイッチ S6 により安全ガードが開いたことを検出すると、AC サーボドライブ T1 は、安全モジュールからの出
力 K6/K7 により電源切りとなる。
4）設計特性・基本及び十分に実証済みの安全原則を守り、カテゴリ B の要求事項を満たす。
・位置スイッチ S2/S3 への配線は、別々に配線または保護されている。
・位置スイッチ S4/S6 への配線は、別々に配線または保護されている。
・位置スイッチ作動のために保護装置の安定した配置を確保する。
・非常停止スイッチ S1 は、EN ISO 13850 に対応する。
ポジションスイッチ S3/S6 は、IEC 60947-5-1 付属書 K による強制開離機構を有する。
・安全モジュール K10 は、EN 954-1(カテゴリ 4)と IEC/EN 61508(SIL3)を満たす。
・AC サーボアンプ T1 は PLd に適合する。
・K6/K7 の故障は K10 により検出され、K6/K7 への動作指令を切る。
安全ユニット K10 の故障は K10 自身の機能により検出される（プロセスによる故障検出）。

865）推定故障率の計算
各部品の MTTFd と DC

No.

ID

Name

1
2
3
4

K3/K4
K10
T1
S1

5

S2/S6

6

K6/K7

Safety Relay
Safety Module
Servo Amp.
Emergency
Stop Switch
Safety Limit
SwitchContactor

Manufac-turerOmron Corp.
Omron Corp.
Omron Corp.
Omron Corp.

Type

B10d
20,000,000--100,000

MTTFd[Year]
204082
100
85
1024

DC
[%]
99
99
87
99

G7S-3A3B
G9SX-GS226
R88D-KT
A22E-M-02

Omron Corp.

D4N-□A20

2,000,000

102041

99

SchneiderElectric

LC1D122,000,000

20408

99

1. K3/K4
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd1 ＝ B10d / 0.1×Nop ＝ 20,000,000
DC1

980

/ 0.1×980 ＝ 204082 years= 99%

2. K10 MTTFd2 ＝

100 years

DC2

= 99%

DC3

= 87％

Manufacturer spec.
3. T1

MTTFd3 ＝85 years

Manufacturer spec.
4. S1
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd4 ＝ B10d / 0.1×Nop ＝ 100,000 /
DC4

980

0.1×980 ＝ 1024 years= 99％

5. S2/S6
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 8times) ＝ 1960

MTTFd5 ＝ B10d / 0.1×Nop ＝ 2,000,000 /DC5

0.1×1960 ＝ 102041 years= 99％

6. K6/K7
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd6 ＝ B10d / 0.1×Nop ＝ 2,000,000 /
DC6

= 99%

87

980

0.1×980 ＝ 20408 years6）PL 計算結果
PL 判定結果

No.

MTTFd [year]

DCavg

Safety Category

CCF

PL

A

99

0.99

3

65＜

e

B

91

0.99

3

65＜

e

C/D

99

0.99

3

65＜

e

MTTFd

A)
1
1/MTTFd1 + 1/MTTFd2 + 1/MTTFd6

1
1/204082 + 1/100 + 1/20408≒

99 year≒91 year≒99 yearB)
1
1/MTTFd4 + 1/MTTFd2 + 1/MTTFd6

1
1/1024 + 1/100 + 1/20408

C/D)
1
1/MTTFd5 + 1/MTTFd2 + 1/MTTFd6

1
1/102041 + 1/100 + 1/20408

DCavg
A)
DC1/MTTFd1+DC2/MTTFd2+DC6/MTTFd6

0.99/204082+0.99/100+0.99/20408

1/MTTFd1 + 1/MTTFd2 + 1/MTTFd6

1/204082 + 1/100 + 1/20408≒ 0.99B)
DC4/MTTFd4+DC2/MTTFd2+DC6/MTTFd6

0.99/1024+0.99/100+0.99/20408

1/MTTFd4 + 1/MTTFd2 + 1/MTTFd6

1/1024 + 1/100 + 1/20408≒ 0.99C/D)
DC5/MTTFd5+DC2/MTTFd2+DC1/MTTFd1

0.99/102041+0.99/100+0.99/204082

1/MTTFd5 + 1/MTTFd2 + 1/MTTFd1

1/102041+1/100 + 1/204082≒ 0.9988

③ Safety assessment of Back Gauge of Sheet Cutting Machine Cat.3 PLd
1）Outline
Back Gauge is a guide to line up the sheet when cutting it into a given size forbookbinding. Moving the back gauge according to the cutting size, lining up the sheet
using back gauge, and pressing the knife switch to cut the sheet is a sheet cutting
process. Safety assessment of back gauge of sheet cutting machine is evaluated bythis document.

Sheet Cutting Machine89

Circuit Diagram （PLd）

902）Safety function
Safety-related stop function, initiated by a protective device:A) Light curtain
When the light curtain detects a person, the safety function STO (safe torque off)
is initiated to stop the motor of back gauge.
B) Emergency stop switch
When the Emergency stop switch is pushed, the safety function STO (safe torque off)
is initiated to stop the motor of back gauge.
C) Moveable guard
When the moveable guard (safety guard) is opened, the safety function STO(safe torque off) is initiated by actuation of the limit switch to stop the motorof back gauge.
D) Lock type safety guard
When the moveable guard (safety guard) is opened or safety guard is unlocked,
the safety function STO(safe torque off) is initiated to stop the motor of backgauge.

A) Light Curtain
K3
K10

T1

K10

T1

K10

T1

K10

T1

K4
B) Emergency stop switch
S1C) Moveable guard
S2S3D) Lock type safety guard
S4
S6

91

3）Functional description:A) Light curtain
When light curtain PH1 detects an object or detects any failure by self-diagnosis
function, abnormal contact K3 and K4 is opened and the AC servo amp T1 is safety
torque off by contactor O44 and O54 which is initiated by safety module K10.
B) Emergency stop switch
Power of AC servo amp T1 is safety torque off by contactor O44 and O54 when emergency
stop switch S1 operates and opening of the contact is detected by safety module
K10.
C) Moveable guard
Opening of the moveable guard (e.g. safety guard) is detected by two position
switches S2 and S3 in a break contact. Power of AC servo amp T1 is safety torqueoff by contactor O44 and O54 which is initiated by safety module K10.
D) Lock type safety guard
When the lock type safety guard is unlocked and then contact S4 is opened or whenrelease of safety guard is detected by limit switch S6, power of AC servo amp T1
is safety torque off by contactor O44 and O54 which is initiated by safety module
K10.
4）Design features
・ Basic and well-tried safety principles are observed and the requirements of Category B are met.
・ The supply conductors to the position switches S2 and S3 are laid separately orwith protection.
・ The supply conductors to the position switches S4 and S6 are laid separately orwith protection.
・ A stable arrangement of the protective devices is assured for actuation of theposition switches.
・ The emergency stop device S1 corresponds to EN ISO 13850:S3 and S6 are position
switches with detect opening contact to IEC 60947-5-1, Annex K.
・ The safety modules K10 satisfy all the requirements for EN954-1(Category 4) and
IEC/EN61508 (SIL3).
・ AC servo amp T1 is corresponds to PLd.
・ Component failures in AC servo amp T1 are detected by the Safety unit K10 andlead to operation inhabitation owing to the dropping out of O44 and O54. Faults
in the Safety unit K10 are detected only by the function (fault detection by theprocess).

925）Calculation of the probability of failure
MTTFd and DC about parts

No.

ID

Name

1
2
3
4

K3/K4
K10
T1
S1

5

S2/S6

Safety Relay
Safety Module
Servo Amp.
Emergency Stop
SwitchSafety Limit
SwitchManufac-turerOmron Corp.
Omron Corp.
Omron Corp.
Omron Corp.

Type

B10d
20,000,000--100,000

MTTFd[Year]
204082
100
85
1024

DC
[%]
99
99
87
99

G7S-3A3B
G9SX-GS226
R88D-KT
A22E-M-02

Omron Corp.

D4N-□A20

2,000,000

10204199

1. K3/K4
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd1 ＝ B10d / 0.1×Nop ＝ 20,000,000
DC1

980

/ 0.1×980 ＝ 204082 years= 99%

2. K10

MTTFd2 ＝100 years

DC2

= 99%

DC3

= 87％

Manufacturer spec.
3. T1 MTTFd3 ＝85 years

Manufacturer spec.
4. S1
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd4 ＝ B10d / 0.1×Nop ＝ 100,000 /
DC4

980

0.1×980 ＝ 1024 years= 99％

5. S2/S6
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 8times) ＝ 1960

MTTFd5 ＝ B10d / 0.1×Nop ＝ 2,000,000 /
DC5

= 99％

93

0.1×1960 ＝ 102041 years6）PL diagnosis results
PL diagnosis results

No.
A
B
C/D

MTTFd [year]
46
44
46

DCavg
0.925
0.928
0.925

Safety Category
3
3
3

CCF
65＜
65＜
65＜

PL
d
d
d

MTTFd
A)
1

1

1/MTTFd1 + 1/MTTFd2 + 1/MTTFd3

1/204082 + 1/100 + 1/85

11

1/MTTFd4 + 1/MTTFd2 + 1/MTTFd3

1/1024 + 1/100 + 1/85≒

46 year≒

44 year≒46 year

B)

C/D)
1

1

1/MTTFd5 + 1/MTTFd2 + 1/MTTFd3

1/102041 + 1/100 + 1/85

DCavg
A)
DC1/MTTFd1+DC2/MTTFd2+DC3/MTTFd3

0.99/204082+0.99/100+0.87/85

1/MTTFd1 + 1/MTTFd2 + 1/MTTFd3

1/204082 + 1/100 + 1/85
≒ 0.925

B)
DC4/MTTFd4+DC2/MTTFd2+DC3/MTTFd3

0.99/1024+0.99/100+0.87/85

1/MTTFd4 + 1/MTTFd2 + 1/MTTFd3

1/1024 + 1/100 + 1/85
≒ 0.928

C/D)
DC5/MTTFd5+DC2/MTTFd2+DC3/MTTFd3

0.99/102041+0.99/100+0.87/85

1/MTTFd5 + 1/MTTFd2 + 1/MTTFd3

1/102041 + 1/100 + 1/85
≒ 0.92594

AC servo amplifier T1 specification 1

95

AC servo amplifier T1 specification 296

④ Safety assessment of Back Gauge of Sheet Cutting Machine Cat.3 PLe
1）Outline
Back Gauge is a guide to line up the sheet when cutting it into a given size forbookbinding. Moving the back gauge according to the cutting size, lining up the sheet
using back gauge, and pressing the knife switch to cut the sheet is a sheet cutting
process. Safety assessment of back gauge of sheet cutting machine is evaluated bythis document.

Sheet Cutting Machine97

Circuit Diagram （PLe)982）Safety function
Safety-related stop function, initiated by a protective device:A) Light curtain
When the light curtain detects a person, AC servo amp T1 is turned off by contactor
K6 and K7.
B) Emergency stop switch
When the Emergency stop switch is pushed, AC servo amp T1 is turned off
by contactor K6 and K7.
C) Moveable guard
When the moveable guard (safety guard) is opened, the limit switch is initiated,
and AC servo amp T1 is the turned off by contactor K6 and K7
D) Lock type safety guard
When the moveable guard (safety guard) is opened, or safety guard is unlocked, thelimit switch is initiated, and AC servo amp T1 is turned off by contactor K6 and
K7.

A) Light Curtain
K3

K6
K10
K7

K4
B) Emergency stop switch

K6
S1

K10
K7

C) Moveable guard
K6

S2
K10

K7

S3

D) Lock type safety guard
S4

K6
K10

S6

K7

99

3）Functional descriptionA) Light curtain
When light curtain PH1 detects an object or detects any failure by self-diagnosis
function, abnormal contact K3 and K4 is opened and power of AC servo amp T1 is turned
off by contactor K6 and K7 which is initiated by safety module K10 detecting openingof contact.
B) Emergency stop switch
Power of AC servo amp T1 is turned off by contactor K6 and K7 when emergency stop
switch S1 operates and opening of the contact is detected by safety module K10.
C) Moveable guard
Opening of the moveable guard (e.g. safety guard) is detected by two position
switches S2 and S3 in a break contact. Power of AC servo amp T1 is turned off bycontactor K6 and K7 when opening of the contact is detected by safety module K10.
D) Lock type safety guard
When the lock type safety guard is unlocked and then contact S4 is opened or whenrelease of safety guard is detected by limit switch S6, power of AC servo amp T1
is turned off by contactor K6 and K7 which is initiated by safety module K10 detecting
opening of contact.
4）Design features
・Basic and well-tried safety principles are observed and the requirements of Category
B are met.
・The supply conductors to the position switches S2 and S3 are laid separately or withprotection.
・The supply conductors to the position switches S4 and S6 are laid separately or withprotection.
・A stable arrangement of the protective devices is assured for actuation of the position
switches.
・The emergency stop device S1 corresponds to EN ISO 13850:S3 and S6 are position
switches with detect opening contact to IEC 60947-5-1, Annex K.
・The safety modules K10 satisfy all the requirements for EN954-1(Category 4) and
IEC/EN61508 (SIL3).
・Component failures in K6 and K7 are detected by K10 and lead to operation inhabitation
owing to the dropping out of K6 and K7. Faults in the Safety unit K1 are detected
only by the function (fault detection by the process).

1005）Calculation of the probability of failure
MTTFd and DC about parts

No.

ID

Name

1
2
3
4

K3/K4
K10
T1
S1

5

S2/S6

6

K6/K7

Safety Relay
Safety Module
Servo Amp.
Emergency
Stop Switch
Safety Limit
SwitchContactor

Manufac-turerOmron Corp.
Omron Corp.
Omron Corp.
Omron Corp.

Type

B10d
20,000,000--100,000

MTTFd[Year]
204082
100
85
1024

DC
[%]
99
99
87
99

G7S-3A3B
G9SX-GS226
R88D-KT
A22E-M-02

Omron Corp.

D4N-□A20

2,000,000

102041

99

SchneiderElectric

LC1D122,000,000

20408

99

1. K3/K4
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd1 ＝ B10d / 0.1×Nop ＝ 20,000,000
DC1

980

/ 0.1×980 ＝ 204082 years= 99%

2. K10

MTTFd2 ＝100 years

DC2

= 99%

DC3

= 87％

Manufacturer spec.
3. T1 MTTFd3 ＝85 years

Manufacturer spec.
4. S1
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd4 ＝ B10d / 0.1×Nop ＝ 100,000 /
DC4

980

0.1×980 ＝ 1024 years= 99％

5. S2/S6
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 8times) ＝ 1960

MTTFd5 ＝ B10d / 0.1×Nop ＝ 2,000,000 /DC5

0.1×1960 ＝ 102041 years= 99％

6. K6/K7
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd6 ＝ B10d / 0.1×Nop ＝ 2,000,000 /
DC6

= 99%

101

980

0.1×980 ＝ 20408 years6）PL diagnosis results
PL diagnosis results

No.
A
B
C/D

MTTFd [year]
99
91
99

DCavg
0.99
0.99
0.99

Safety Category
3
3
3

CCF
65＜
65＜
65＜

PL
e
e
e

MTTFd

A)
1
1/MTTFd1 + 1/MTTFd2 + 1/MTTFd6

1
1/204082 + 1/100 + 1/20408≒

99 year≒91 year≒99 yearB)
1
1/MTTFd4 + 1/MTTFd2 + 1/MTTFd6

1
1/1024 + 1/100 + 1/20408

C/D)
1
1/MTTFd5 + 1/MTTFd2 + 1/MTTFd6

1
1/102041 + 1/100 + 1/20408

DCavg
A)
DC1/MTTFd1+DC2/MTTFd2+DC6/MTTFd6

0.99/204082+0.99/100+0.99/20408

1/MTTFd1 + 1/MTTFd2 + 1/MTTFd6

1/204082 + 1/100 + 1/20408≒ 0.99B)
DC4/MTTFd4+DC2/MTTFd2+DC6/MTTFd6

0.99/1024+0.99/100+0.99/20408

1/MTTFd4 + 1/MTTFd2 + 1/MTTFd6

1/1024 + 1/100 + 1/20408≒ 0.99C/D)
DC5/MTTFd5+DC2/MTTFd2+DC1/MTTFd1

0.99/102041+0.99/100+0.99/204082

1/MTTFd5 + 1/MTTFd2 + 1/MTTFd1

1/102041+1/100 + 1/204082≒ 0.99102

(2) BG からの指摘- „moveable guard“ の安全スイッチ S2 と S3 及び„Lock type safety guard“の安全スイ
ッチ S4 及び S6 はそれぞれカスケードとして安全モジュール K10 へ導かれる。この場
合 DC は最高で 90%となる。
- Da die Sicherheitsschalter S4 und S6 der „Lock type safety guard“ mit den
Sicherheitsschalter S2 und S3 der „moveable guard“ jeweils als Kaskade auf das
Sicherheitsmodul K10 geführt sind, kann als Diagnosedeckungsgrad höchstes 90%
vergeben werden.

一般事項：制御カテゴリ４に関する MTTF への置換は PFH の値をもってのみ有効である。
すなわち制御カテゴリ４の制御を単に MTTFd=100a に置き換えることはできない。
この置換は付録の表をもってのみ可能である。
Allgemein: Es muss darauf hingewiesen werden, dass eine Umrechnung auf MTTFd bzgl.
Kategorie 4 Steuerungen nur über den PFH-Wert zulässig ist. D.h. man kann nicht
einfach einer Kategorie 4 Steuerung den MTTFd=100a zuordnen. Die Umrechnung kannanhand der als Anlage beigefügten Tabelle erfolgen.
例えば T1 の様なコンポーネントで該当値が存在しない場合、単純に DC90%を適用することはできない。何故ならば、DC 値は診断機能により決定されるからである。それは例えば、インバーターT1 のセンサー値が PLC に入力され、インバーターの駆動系の PL による故障時に安全なパルスブロックにより静止状態に導かれることにより達成される。この場合、規格により DC90%が適用されうる。
Für Komponenten, z.B. T1, bei denen keine Kennwerte vorhanden sind kann nicht
einfach ein DC Wert von 90% angenommen werden. Denn der Kennwerte DC wird durch
die Diagnosemaßnahmen bestimmt. Das kann z.B. dadurch erfolgen, dass der
Sensorwert des Inverters T1 in die PLC zurückgelesen wird und bei einem
Fehlverhalten des Inverters durch die PLC der Antrieb durch die sichere
Impulssperre stillgesetzt wird. In diesem Fall kann entsprechend der Norm ein
Diagnosewert von 90% angenommen werden.
(3) BG との討論内容
・全体をとおして特に問題はなかった。
・PLd のサンプル回路例は、PLe に近い d と考えられる。
・重要な部分の説明が十分でない。
・安全リレーモジュールを一般的なリレーモジュールに変更しても、同じ PLd とすることはできない。
・安全スイッチのカスケード接続における DC は、最大でも 90%になる。単独接続した場合は、99%として計算することは可能である。
・MTTF への置換は PFH の値でもってのみ有効で、単に MTTFd=100 とは置き換えられない。

103

(4) 修正レポート※修正内容は、ｲ)とﾛ)の２項目。
文章中の太字が修正部分。
ｲ) 4.2.3.①.4) 設計特性項の AC サーボアンプの記述を修正する。
AC サーボアンプ T1 は、IEC61800-5-2 に適合し、PLd にも適合する。
AC サーボアンプ T1 の DC は、メーカー公表値で 87%である。
ﾛ) S2 の DC を 90%から 99%へ修正する。
5) 推定故障率の計算
各部品の MTTFd と DC

No.

ID

Name

1
2
3
4

K3/K4
K10
T1
S1

5

S2/S6

Safety Relay
Safety Module
Servo Amp.
Emergency Stop
SwitchSafety Limit
SwitchManufac-turerOmron Corp.
Omron Corp.
Omron Corp.
Omron Corp.

Type

B10d
20,000,000--100,000

MTTFd[Year]
204082
100
85
1024

DC
[%]
99
99
87
99

G7S-3A3B
G9SX-GS226
R88D-KT
A22E-M-02

Omron Corp.

D4N-□A20

2,000,000

10204190

1. K3/K4
Nop ＝ 245 days×8 hours×3600 / (3600 sec.×8 hours / 4 times) ＝ 980
MTTFd1 ＝ B10d / 0.1×Nop ＝ 20,000,000 / 0.1×980 ＝ 204082 years
DC1 = 99%
2. K10 MTTFd2 ＝ 100 years
Manufacturer spec.

DC2

= 99%

3. T1 MTTFd3 ＝ 85 years
Manufacturer spec.

DC3

= 87％

4. S1
Nop ＝ 245 days×8 hours×3600 / (3600 sec.×8 hours / 4 times) ＝ 980
MTTFd4 ＝ B10d / 0.1×Nop ＝ 100,000 / 0.1×980 ＝ 1024 years
DC4 = 99％
5. S2/S6
Nop ＝ 245 days×8 hours×3600 / (3600 sec.×8 hours / 8times) ＝ 1960
MTTFd5 ＝ B10d / 0.1×Nop ＝ 2,000,000 / 0.1×1960 ＝ 102041 years
DC5 = 90％1046) PL 計算結果
PL 判定結果

No.
A
B
C / D

MTTFd [year]
46
44
46

DCavg
0.925
0.928
0.925

Safety Category
3
3
3

CCF
65＜
65＜
65＜

PL
d
d
d

MTTFd
A)
1

1

1/MTTFd1 + 1/MTTFd2 + 1/MTTFd3

1/204082 + 1/100 + 1/85

11

1/MTTFd4 + 1/MTTFd2 + 1/MTTFd3

1/1024 + 1/100 + 1/85≒

46 year≒

44 year≒46 year

B)

C/D)
1

1

1/MTTFd5 + 1/MTTFd2 + 1/MTTFd3

1/102041 + 1/100 + 1/85

DCavg
A)
DC1/MTTFd1+DC2/MTTFd2+DC3/MTTFd3

0.99/204082+0.99/100+0.87/85

1/MTTFd1 + 1/MTTFd2 + 1/MTTFd3

1/204082 + 1/100 + 1/85
≒ 0.925

B)
DC4/MTTFd4+DC2/MTTFd2+DC3/MTTFd3

0.99/1024+0.99/100+0.87/85

1/MTTFd4 + 1/MTTFd2 + 1/MTTFd3

1/1024 + 1/100 + 1/85
≒ 0.928

C/D)
DC5/MTTFd5+DC2/MTTFd2+DC3/MTTFd3

0.9/102041+0.99/100+0.87/85

1/MTTFd5 + 1/MTTFd2 + 1/MTTFd3

1/102041 + 1/100 + 1/85
≒ 0.9251055) 推定故障率の計算
各部品の MTTFd と DC

No.

ID

Name

1
2
3
4

K3/K4
K10
T1
S1

5

S2/S6

6

K6/K7

Safety Relay
Safety Module
Servo Amp.
Emergency
Stop Switch
Safety Limit
SwitchContactor

Manufac-turerOmron Corp.
Omron Corp.
Omron Corp.
Omron Corp.

Type

B10d
20,000,000--100,000

MTTFd[Year]
204082
100
85
1024

DC
[%]
99
99
87
99

G7S-3A3B
G9SX-GS226
R88D-KT
A22E-M-02

Omron Corp.

D4N-□A20

2,000,000

10204190

SchneiderElectric

LC1D122,000,000

20408

99

1. K3/K4
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd1 ＝ B10d / 0.1×Nop ＝ 20,000,000
DC1

980

/ 0.1×980 ＝ 204082 years= 99%

2. K10

MTTFd2 ＝100 years

DC2

= 99%

DC3

= 87％

Manufacturer spec.
3. T1 MTTFd3 ＝85 years

Manufacturer spec.
4. S1
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd4 ＝ B10d / 0.1×Nop ＝ 100,000 /
DC4

980

0.1×980 ＝ 1024 years= 99％

5. S2/S6
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 8times) ＝ 1960

MTTFd5 ＝ B10d / 0.1×Nop ＝ 2,000,000 /DC5=

0.1×1960 ＝ 102041 years

90％

6. K6/K7
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd6 ＝ B10d / 0.1×Nop ＝ 2,000,000 /
DC6

= 99%

106

980

0.1×980 ＝ 20408 years

6) PL diagnosis results
PL 判定結果

No.
A
B
C / D

MTTFd [year]
99
91
99

DCavg
0.99
0.99
0.99

Safety Category
3
3
3

CCF
65＜
65＜
65＜

PL
e
e
e

MTTFd

A)
1
1/MTTFd1 + 1/MTTFd2 + 1/MTTFd6

1
1/204082 + 1/100 + 1/20408≒

99 year≒91 year≒99 yearB)
1
1/MTTFd4 + 1/MTTFd2 + 1/MTTFd6

1
1/1024 + 1/100 + 1/20408

C/D)
1
1/MTTFd5 + 1/MTTFd2 + 1/MTTFd6

1
1/102041 + 1/100 + 1/20408

DCavg
A)
DC1/MTTFd1+DC2/MTTFd2+DC6/MTTFd6

0.99/204082+0.99/100+0.99/20408

1/MTTFd1 + 1/MTTFd2 + 1/MTTFd6

1/204082 + 1/100 + 1/20408≒ 0.99B)
DC4/MTTFd4+DC2/MTTFd2+DC6/MTTFd6

0.99/1024+0.99/100+0.99/20408

1/MTTFd4 + 1/MTTFd2 + 1/MTTFd6

1/1024 + 1/100 + 1/20408≒ 0.99C/D)
DC5/MTTFd5+DC2/MTTFd2+DC1/MTTFd1

0.9/102041+0.99/100+0.99/204082

1/MTTFd5 + 1/MTTFd2 + 1/MTTFd1

1/102041+1/100 + 1/204082≒ 0.99(5) 考察・認定資料としてカタログを添付しても、あまり確認されていなかった。資料としては第 3 社
機関による認証書を手に入れる必要があると思われる。
・各部品のパラメータをメーカーに請求する際は、PFH をもらうようにする。
・インバーター、サーボアンプなどのパワードライブシステム部品が IEC 61800-5-2 適合品で、制御信号の二重化、故障保証されておれば、入力電源遮断のためのリレー2 段は必要なくなることが PLd のサンプル回路例でわかった。

107

(6) 図面の修正
1) 修正に至った経緯
今回 C グループではオムロン製安全リレーユニット G9SX とサーボアンプドライバ G5 シリーズを使用した回路例で PL 計算を行ったが、後日オムロン社より連絡を受け、修正するに至った。安全リレーユニット G9SX の入力電圧が 24Vdc 一定であれば、サーボドライバ G5 シ
リーズの安全保障信号(EDM 機能)が 2 回路まで接続・動作可能であるが、G9SX の入力電圧がMin.保証値である 20.4Vdc まで低下すると安全保障信号が機能せず、システム全体が異常を検知して停止してしまうというものである。オムロン社では新商品としてセーフティコント
ローラ G9SP シリーズを発表されており、そのコントローラであれば Min.保証値 20.4Vdc まで低下しても安全保障信号が 4 回路まで接続・動作可能で、このコントローラによる回路例に修正して欲しいとの要望を受けた。PL 計算に関与するパラメータ類は G9SX・G9SP ともにほぼ同等で結果には影響しないとのことである。G9SX では入力が 2 点までだったが、セーフ
ティコントローラは入力が最低 10 点ありスイッチ等の信号を個別に入力・再計算することも可能であるが、すでに委員会は終了し、あくまで修正という今回の作業内容から、採用部品の変更に伴う図面変更と PL の再計算の作業とした。
2) 修正図面
G9SP を使用した修正図面を次ページに示す。
G5 シリーズの安全保障信号（EDM 機能）に関わる点の修正のため、該当する信号を使用している PLd の例のみ修正した。
参考までに、G9SP に変更した場合でも、PL は G9SX と同じ PLd となった。

108

断裁機 修正回路図（PLd）

109

3) 推定故障率の計算
各部品の MTTFd と DC

No.

ID

Name

Manufac-turer1

K3/K4

Safety Relay

2

K10

Safety Module

3

T1

Servo Amp.

4

S1

Emergency
Switch

5

S2/S6

Stop

Safety Limit
Switch

Type

B10d

MTTFd
[Year]

DC[%]

Omron Corp.

G7S-3A3B

20,000,000

20408299

Omron Corp.

G9SP-N20S

--

100

90

Omron Corp.

R88D-KT

--

85

87

Omron Corp.

A22E-M-02

100,000

1024

99

Omron Corp.

D4N-□A20

2,000,000

10204199

1. K3/K4
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd1 ＝ B10d / 0.1×Nop ＝ 20,000,000
DC1

980

/ 0.1×980 ＝ 204082 years= 99%

2. K10 MTTFd2 ＝

100 years

DC2

= 90%

DC3

= 87％

Manufacturer spec.
3. T1

MTTFd3 ＝85 years

Manufacturer spec.
4. S1
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 4 times) ＝

MTTFd4 ＝ B10d / 0.1×Nop ＝ 100,000 /
DC4

980

0.1×980 ＝ 1024 years= 99％

5. S2/S6
Nop ＝ 245 days×8 hours×3600/ (3600 sec.×8 hours / 8times) ＝ 1960

MTTFd5 ＝ B10d / 0.1×Nop ＝ 2,000,000 /
DC5

= 99％

110

0.1×1960 ＝ 102041 years

4) PL 計算結果
PL 判定結果

No.

MTTFd [year]

DCavg

Safety Category

CCF

PL

A

46

0.884

3

65＜

d

B

44

0.888

3

65＜

d

C/D

46

0.884

3

65＜

d

MTTFd
A)
1

1

1/MTTFd1 + 1/MTTFd2 + 1/MTTFd3

1/204082 + 1/100 + 1/85

11

1/MTTFd4 + 1/MTTFd2 + 1/MTTFd3

1/1024 + 1/100 + 1/85≒

46 year≒

44 year≒46 year

B)

C/D)
1

1

1/MTTFd5 + 1/MTTFd2 + 1/MTTFd3

1/102041 + 1/100 + 1/85

DCavg
A)
DC1/MTTFd1+DC2/MTTFd2+DC3/MTTFd3

0.99/204082+0.90/100+0.87/85

1/MTTFd1 + 1/MTTFd2 + 1/MTTFd3

1/204082 + 1/100 + 1/85
≒ 0.884

B)
DC4/MTTFd4+DC2/MTTFd2+DC3/MTTFd3

0.99/1024+0.90/100+0.87/85

1/MTTFd4 + 1/MTTFd2 + 1/MTTFd3

1/1024 + 1/100 + 1/85
≒ 0.888

C/D)
DC5/MTTFd5+DC2/MTTFd2+DC3/MTTFd3

0.99/102041+0.90/100+0.87/85

1/MTTFd5 + 1/MTTFd2 + 1/MTTFd3

1/102041 + 1/100 + 1/85
≒ 0.884111

4.3

BG による検証結果について

枚葉機（A グループ）では、チャレンジ的な回路も組み込んだため、審査側に意図を伝えるのが難しかった。これは、印刷機では定型的な回路であっても審査官はメーカー担当者よりも広範な機械を扱っているので、安全機能とその実現については、詳細の説明が必要であることがわかった。今回のように、チャレンジ的な回路を実機で使う場合にはなおさらであると思われる。一方、そうであっても、説明することで理解を得ることもできたわけで、その意味では、今回のような検証等を通じて、テクニカルコミュニケーションの方法を取得することは、大きな効果があると思われる。また、工業会で標準的な書式を作ることも有効であると考えられる。
輪転機（B グループ）では、安全機能の説明の伝達で苦労した。BG はある程度解釈（類推）して査定したようであった。しかし、十分に設計意図が伝われないなかでの認証は、不的確との判定になりかねない。そのような極端なことはないにしても、望ましいことではなく、また文書化しておいても、万が一の際に設計の妥当性の証明として活用できないこともありうる。日本人は文書化が苦手といわれるが、もともと持っている設計技術に見合った説明能力と文書化能力で、
国際競争力が増すと考えられ、PL の認証の問題に限らず、向上が必要なスキルであることが再認識させられた。
断裁機（Ｃグループ）については、オーソドックスな回路であり、特に大きな指摘事項はなかったが、カタログのコピーを添付しても必ずしも提出者の意図が伝わるとは限らないことを体験した。今回のように IEC 61800-5-2 など認証を取得したものを使う際には、認証書のコピーを取り寄せ添付することが、その後の審査をスムーズに進める上で大切なようである。これは、審査時に問われてから対応してもかまわないという意味で本質ではないが、円滑に審査を進めること
は、審査側、受審側にとって好ましいことで準備すべきことであろう。また、準備のなかで、設計者にとっても、設計の妥当性の確認にもなる。
以上のようであるが、共通的事項を再度まとめると次の各項目となる。
1. PL 設計妥当性検証試験では、回路構成、計算結果に対する否定的なコメントはなかった。むしろ、設計の意図を正確に伝えることがキーポイントであった。その意味で、当初の文書と妥当性確認結果受領、討論後の文書を見比べ、設計者の文書化の要点を理解してほしい。
2. 制御システムのなかの安全関連部は、設計した安全機能とそれを担保する回路は略さずに記すこと必要であった。これは、回路図そのままという意味ではなく、安全機能の作動の仕組みがわかるものである。また、その作動説明の文書も必要であった。今回、当初の文書では、添付資料などについて、なぜ添付したのか理解されずに評価されていた点があった。規格適合品を使用した場合には、そのコンポーネントの認証書をメーカーから取り寄せ、添付することが必要あると感じられた。
3. MTTFd についても、カタログのコピーを付けるのではなく、試験成績書等の形で取り寄せ、112添付することが望ましいと考えられる。討論会でも、BG 側から「ファックスでもよいので、メーカーの書面を付けること」を推奨していた。認証側としては、対象機器で使われている
コンポーネントのデータと明示的にわかるものを求めているものと思われる。
4. DC については、複数のグループで根拠を示すことが要求された。特に、「カテゴリ４の構成であるからという理由では 99％とはならない」ことを強調していた。
4.4 総括今回の PL 評価・妥当性確認を通じて、表 4.1 に示す疑問点が上がった。これらについて、検証
回路等と一緒に BG に送ったところ、同表右の回答を得た。また、講習会における質疑の内容も下部に記載してある。
回答は我々の予想したものであった。このことから、メーカーである我々と認証機関であり、またこの改正の中心となった機関でもある BG との間で、ISO 13849-1:2006 で導入された PL の解釈に大きさ相違がなかったことが確かめられたわけで、そのこと自体、一つの成果であった。

表 4.1 ISO 13849 の疑問点と BG からの回答

（その１）
No.

1

2

3

4

5

6

質問

回答
メーカーから MTTFd または、B10d が得
コンポーネントメーカーから MTTFd や B10d が提示され られないなら、ない場合、そのコンポーネントの電気的寿命から算出 a．ISO 138949-1:2006 付属書 C またしてよいか？（附属書の値があまりに大きいため）は D の値を使用する。
b．10 年を選択する。
電気的寿命は、Ｂ10 と考え、危険側故障が 50％と考え 電気寿命の B10 データの 2 倍と見積もて、Ｂ10ｄは、電気的寿命の２倍としてよいか？
る。（付属書 C 参照）
MTTFd や B10 の数値がメーカーから提供されない場合
は、ISO 13849-1:2006 の附属書 C に記載ある「表 C.1コンポーネントの MTTFd または B10 を扱う国際規格」の標準数値を使用してよいか。
また、使用する場合の注意点は何か。
安全関連部に自社基板を使用している場合の MTTFd を求める場合は、ISO 13849-1:2006 の附属書 D の D.1 のパーツ・カウント・メソッドの「表 D.1-回路基板の部
品リストの例」に記載あるように使用部品ごとの1/MTTFd を求め、合計すればよいか。
推奨データベースはあるのか。B10d などをデータベースから取ったとき、データベース選択の妥当性も認証時に問われるか （どのような信頼性データベースなら使用してもよいか）。
MTTFd, DC などの PL を計算するのに必要なデータが開示されていない場合、サブシステムの SIL を PL に置き換えるやり方が記載されているが、必要なデータを入手する努力をせずに置き換えてしまう懸念がないのか。

113

メーカーから MTTFd または、B10d が得られないなら、
a．ISO 138949-1:2006 付属書 C または D の値を使用する。
b．10 年を選択する。
パーツカウント方法にてにより数値化する。

私は SN 29500 からデータベースを推薦する。
カテゴリ IV システムの PFH 値を持っているという場合、DC ＝ 99％とMTTFd （ PFH 値に依存 ）を決定することができる。

7

8

9

10

11

12

13

14

15

コンポーネントメーカーから提供される B10d などのデ確証の結果として、製造業者からリリータはそのまま計算基礎として使用してよいのでしょースされたデータの信頼性をチェックうか。もし、メーカーのこれらデータを計算に使うたしなければならない。
めの条件があるとしたら教えてください。
PLC で、Remote I/O LINK 等を使用した場合、PLC は同
バスシステムには、1 パーセントルール
一の１つのコンポーネントとして、考えればよいので考える（エラーレートを時間当たり 1か？ それとも、それぞれ、コンポーネントとして計パーセント以内にする）。
算しなければならないのか？
出力部品で、安全リレーを２個並列で出力し、その接点を２個シリアル接続で使用した場合、計算は、安全
冗長システムのために MTTF ｄの計算
リレー１個として、計算するのか。２個をコンポーネをしなければならない（シングルシス
ントとして扱うと、MTTFd は、1／2 になっていく。本テム）。
来、故障への信頼性は、２倍になると思うが、MTTFd は下がっていくという点が釈然としません。
並列冗長系の MTBF を評価する時 2/3 をかける、あるいは低い方の MTBF を使うこと が規定されている、という件で、並列冗長系が、２系統の場合、式が定義されていると思うが、３系統の場合などは、どうしたらよ 私の提案は、最も高い MTTFd 値でチャいか？まず、２系統を計算して、さらに、計算したも ンネルを選んで、対称化公式で計算をのと残りの１系統で２系統の計算式で、計算するとい することである。
う方法でよいのか？それとも、選択して、高いもの２つで計算すればよいのか？３系統で冗長させているのに、MTTFd は下がっていくという点が釈然としません。
機械回転を検出する近接スイッチのサイクルは、どう 近接スイッチは、低信頼性部品である。
判断するのか？60rpm で回転すると 1 秒間 1 回になり、 B10d を考慮し計算しなければならな
Nop が大きくなり、結果、MTTFd が小さくなる。
い。
CE マーキングの自己宣言書に PL 計算の結果として、
SISTEMA から出力された結果を使うこ
SISTEMA の出力結果を正式文書としても問題ないか。別とはできる。
に手計算による書類が必要なのか。
ソフトウェアの安全要求事項に関する項目についての判定ができる CCF のような点数付けされたチェックリ
チェックリストはない。
ストのようなものがないのか。例えば、IEC 61508 などに。
ISO 13849-1:2006 の表１は、今は使用
規定アーキテクチャーを満たすことは必須か。それとしても問題ない。
もそれとは無関係に ISO 13849-1:2006 の表１を満たし
簡略化された手順によって計算をするていることを立証できれば規定アーキテクチャーでなならば、ISO 13849-1:2006 の 6 で言及
くとも PL は認められるのか。必須であるとすれば、どされる構造を考慮しなければならなの規定に規定されているのか。
い。
並列冗長系の MTBF を評価する時 2/3 をかける、あるいは低い方の MTBF を使うことが規定されている。このこ 弾力的な数値。信頼性には大きく影響とは冗長化の意味を否定しているように思われるが、 しない。
どのように考えるか。

114

16

SISTEMA のレポートをみると、ミッションタイムを記入してある。これは機械（製品）保証期間（？）、試用期間（？）？
Mission Time（ａ）： 20
チャンネル（CH1）の MTTFd（ａ）：19.88
信頼性は低い部品で 20 年未満なら保守という計算になることがある。
などによりその期間を満足させる。
機械（製品）保証期間 20 年に対し、19.88 年では未適合ということになるのか？
それとも、CH1＋CH2 のトータルの MTTFd が、20 年を超えていれば、よいのか？
そこまで、気にしなくてよいのか？

（その２）
No.

質問

回答

17

EN 954-1 の問題点 「カテゴリ 1 での故障除去はリスク低減の決定に不十分な階層に導かれない。」の意味
は？

リスク低減を定量的に規定する時に、カテゴリ 1 の故障除去という概念では評価が適切に行えない。ISO 13849-1 では、カテゴリ 1 は最大で PL=“c”まで
対応可能。

18

DC の決定（スライド 33）で、SW1 の DC が 99％で SW2の DC が 90%である理由は？

SW1 は、
強制開離機構を有するため 99％
となる。

19

SIL2 なら 1ch で良い。SIL3 なら 2ch がガス検知器への要求事項→PL=“d”の中でセンサは 1ch必要。しかしキャリブレーションを頻でよいのか？
繁に実施すれば 1ch でも可。

20

安全ドライブシステムインバーターのパルスブロックによる停止は、電源遮断による停止と同等の安全機能とみなせるのか？

同等である。残留エネルギーの問題も
パルスブロック方式では回避できるという利点あり。

21

安全ドライブシステムインバーターのパルスブロックによる停止回路のカテゴリ、PL は？

カテゴリは 3。PL については自己診断
機能、MTTFd（通常の PLC で 50～70 年）などを考慮して“d”。

22

安全ドライブシステムインバーターのシャフトレス制
御の場合にも適用できるのか？

適用可能、むしろ軸数の多いシャフト
レス制御の場合に有効である。

23

PG が 1 個でも PL=“d”が達成できる理由は？2ch は必
要ないのか？（モーター速度監視にて）自己診断を常時実施することにより1ch でも問題なし。

これは、たとえば MTTFd=100 年のシス
テムを 2ch 並列にすると通常の信頼性
工学の式では、150 年になってしまう。
24 並列システムの MTTFd の計算式の 2/3 の意味は？
並列の場合にもシングルの場合と同等にしたいという意図があり、2/3 を付けたもの。
備考：表 4. 1 の（その 1）の 1～16 は、当委員会から事前に BG へ質問した内容とその回答である。（その 2）の 17～24 は、講習会における質疑を要約して記載したものである。
（事前の質問に対する回答は英文であったが、ここでは和訳を表にまとめた。巻末には質問と回答の英文を添付したので参照されたい。）

115

今回は問題とはなっていないが、自社製のボードを使うとき MTTFd をパーツカウント法で推算すると、かなり厳しい（MTTFd が小さい）結果となるのか、あるいは緩い（MTTFd が大きい）結果となるのか、また直列系のブロックの評価法も今回は経験していない。
このように、まだ検討していない課題もある。また、実装上の問題は、そもそも対象としていない。しかし、今回の実証研究は一企業では行えないことである。この研究を通じて、事前に PLによる認証を模擬的に行い、より詳細で要点を得た説明が必要なことなど、多くの成果が得られたことは成果である。なお、研究母体が(社)日本印刷産業機械工業会であるので、二種類の印刷
機械と製本紙工機械（断裁機）の制御回路の安全関連部を基に議論しているが、制御の安全関連部の構成は多くの機械類で共通である。したがって、この成果は、種々の工業会、企業で活用できるものである。

116

第5章

調査研究のまとめ

印刷産業機械の製造者は、機械の安全性を確保するため、ISO の機械安全規格に適合することが求められている。2006 年 11 月には、ISO グループ安全規格（B 規格）の ISO 13849-1 の改正版が発行された。改正の結果、機械類に使用する部品の信頼性に対する従来のカテゴリ評価に加え、安全制御システムの信頼性を確率論的に求めた評価、すなわち「パフォーマンスレベル（PL)」に対応することが要求がされた。この改正を受けて、ISO/TC130/WG5 において審議が進められている印刷産業機械の安全規格（ISO 12643-1～5）では、評価基準が“カテゴリ”から“PL”に移行した。今後、印刷産業機械の製造者は、ISO 12643-1～5 の規格が要求する電気部品及び安全制御システムの要求 PL 値（PLｒ）に適合することが要求される。そこで、設計した制御回路の安全関
連部の PL による評価が適切に行えることが必要である。しかし、今まで馴染みにない概念であり、業界各社が個別に対応するのではなく、評価方法を明確にして、全ての会社が適切に対応できるようにすることが課題である。特に、EU 圏内向けの製品は、単に ISO 適合というだけでなく、法的要請である機械指令の整合規格 EN ISO 13849 に適合させなければならないという側面がある∗8。
これら課題の解決のために、本調査研究では、印刷産業機械業界が PL を理解するのに必要な諸項目の整理、調査・研究を行った。得られた主な成果（ISO 13849 改定の要約も含む）は、次のとおりである。
1. 信頼性指標が導入され、さらにソフトウェアについての規定が加わった。これは、最近の電子化された回路の採用、PLC の採用などに対応している。
2. ソフトウェアの要求事項を抽出したが、求められる文書化の詳細は今回の調査だけでは明らかにし切っていない。これは、印刷産業機械に限ったことではない。IEC 61508 規格における認証評価などの例を参考にしつつ、検討を継続する必要がある。
3. ISO 12643 の規定は PLr となったが、従来の規格で規定していたカテゴリから特に問題なく、
ほぼそのまま移行できそうである。
4. PLr を満たす制御の安全関連部設計の「教科書」は必要で、現状ないが将来は我が国独自のものが用意されることが望ましい。
5. このような現状下では、BG レポート翻訳は貴重な「教科書」であり、これは印刷産業機械工業会だけでなく、広く各業界において使える。いち早く翻訳した（レポートの第８章は現時
点では部分訳である）ことは、我が国工業へ大きく貢献できる。有効活用頂きたい。
6. 設計実務では計算ツールが必要である。その観点から入手可能なものを比べた。
7. 特に、SISTEMA は有用なツールの一つであるので、使い方を具体例を用いて平易に解説した。
資料編を参照されたい。この資料により、SISTEMA が使いやすくなったと思われる。
8. BG・ベッカー氏による PL の検証では、回路構成、計算結果に対する否定的なコメントはなか∗82009 年末から適用される予定であったが、二年間延期された。

117

った。むしろ、設計の意図を正確に伝えることがキーポイントであった。その意味で、当初の文書と妥当性確認結果受領、討論後の文書を見比べることで、参考となるものと考える。
9. 同じく、説明に関しては、制御システムのなかの安全関連部は、略さずに記すこと必要であった。これは、回路図をそのまま記載するという意味ではない。制御回路の安全関連部の作動説明は、詳しく説明する必要があった。今回、当初の文書では、BG としての経験からある程度の推定をして評価していたように思われる点があった。安全機能、その具現法をきちんと表現しきるスキルは、電気設計と同じように重要である。
10. DC については、根拠を示すことが要求された。
11. なお、ベッカー氏の一般講演のなかで言及されていたが、IEC 62061 との整合化は今後の課題である。実際、ISO、IEC 両団体でも、リエゾンを作って議論中である。この動向は、次のISO 13849 の改正につながるので、注視が必要でるとともに、我が国からも積極的な提案がなされてしかるべきである。
以上のように、印刷産業機械での使用を想定して、PLr に適合した回路の計算事例を例示する
ことにより、PL 評価の一連の手順を示した。また、その際に援用できるコンピュータによる自動計算システム SISTEMA の日本語の解説書を作成した。このことにより、業界各社において設計した安全制御回路の PL の検証が、容易かつ日本語で操作法を確認しながら実施可能となった。
これらは調査・研究の結果は、印刷産業機械の安全化への対応に関するレベルアップに貢献するとともに、中小企業が多くを占める本業界分野全体に大きな成果であると考える。
PL は信頼性評価が新に加わったことは、大きな変更であるし、コンポーネントメーカーの協力を得てデータを準備する、PL の推算をするなど、いままでの回路設計以外に行うことが増えた。
しかし、今回の PL 評価実証研究及び実機での対応状況の調査から、基本的なことは従来の安全制
御回路でも対応できることが示唆された。
準備は必要であるが、既存の技術を基本に、データの用意及び信頼性の基礎的な知識で対応できるものと考えられる。その準備としては、本報告書の各章がガイドラインとなり得ると考えている。
謝辞
本調査研究を進めるなかで、電気業界、工作機械業界等の多くの方々には、ご講演など頂いたことに対し感謝致します。また、今回の調査研究の一部を委託した NPO 安全工学研究所の期待以上の協力と業務報告に感謝致します。併せて、本事業においては、今までの調査研究以上に委員各位と事務局の努力――それは自社のためではなく、工業界全体の安全向上と合理的な設計、認証取得のための努力――があり、その成果が妥当性検証、付録その他の資料として結実しました。
委員及び事務局各位に感謝の意を表します。

118

― 資料編 ―1. BGIA Report 回路図解説書（翻訳・仮訳の紹介） .................................... 120
2. BG-SISTEMA の概要............................................................... 185
2.1 SISTEMA とは................................................................. 185
2.2 SISTEMA のダウンロードとインストール ......................................... 185
2.2.1 ダウンロード方法 ........................................................ 185
2.2.2 インストール方法 ........................................................ 185
2.3 SISTEMA 基本操作説明 ......................................................... 186
2.3.1 Main window（メイン画面） ............................................... 186
2.3.2 ナビゲーションパネルのオブジェクトタイプ（Object type）の記号説明........ 187
2.3.3 操作画面の用語説明 ...................................................... 188
2.3.4 その他の操作説明 ........................................................ 189
2.3.5 メッセージパネル（Massage pane）の説明 .................................. 193
2.4 SISTEMA の回路例による操作説明 ............................................... 195
2.4.1 回路例 5：可動式ガードの位置監視-カテゴリ 1(PL=c) ........................ 195
2.4.2 回路例 9：試験済み光バリア-カテゴリ 2- PL=c .............................. 207
2.4.3 回路例 17：安全モジュールによる保護装置のカスケード-カテゴリ 3 (PL=d)..... 220
3．ISO 13849-1:2006 の疑問点と BG からの回答 ........................................ 232

119

1.BGIA Report 回路図解説書（翻訳・仮訳の紹介）
BGIA Report2/2008 和訳（仮訳）箇所

No.

回路番号

カテゴリ-PL

備考

1

8.2.4

Cat.1 - PLc

電気回路

2

8.2.5

Cat.1 - PLc

電気回路

3

8.2.6

Cat.1 - PLc

電気回路

4

8.2.8

Cat.1 - PLc

電気回路

5

8.2.9

Cat.2 - PLc

電気回路

6

8.2.10Cat.3 - PLc

電気回路

7

8.2.17

Cat.3 - PLd

電気回路

8

8.2.18Cat.3 - PLd

電気回路

9

8.2.20Cat.3 - PLd

電気回路

10

8.2.21

Cat.3 - PLd

電気回路

11

8.2.22

Cat.3 - PLd

電気回路

12

8.2.24

Cat.3 - PLd

電気回路

13

8.2.28Cat.4 - PLe

電気回路

14

8.2.29

Cat.3 - PLe

電気回路

15

8.2.30Cat.3 - PLe

電気回路

16

8.2.34

Cat.4 - PLe

電気回路

17

8.2.36

Cat.4 - PLe

電気回路＊当委員会では、BGIA Report2/2008 の第 8 章の回路の解説のうち電気回路を中心に英語版の和訳（仮訳）を行った。なお、和訳の内容及び用語等に関して確認を要する場合には、原本である独文又は英文を参照されたい。
http://www.dguv.de/ifa/de/pub/rep/pdf/rep07/biar0208/2_2008.pdf （独文）
http://www.dguv.de/ifa/en/pub/rep/pdf/rep07/biar0208/rep22008e.pdf（英文）

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

2. BG-SISTEMA の概要
2.1 SISTEMA とは
SISTEMA は、ドイツの BGIA が作成したパフォーマンス・レベル(PL)評価ソフトである。このソ
フトは、ISO 13849-1 の 2006 年版に基づいて構築した安全関連部の安全機能について PL の評価を数値的に行うためのものである。評価としては、安全機能の要求 PL を求め、この要求 PL を満足できているかを、構築しているカテゴリの選択、使用している各部品の MTTFd、DCavg、CCF から PL 値を算出して行う。
2.2 SISTEMA のダウンロードとインストール
2010 年 2 月現在の SISTEMA のバージョンは 1.1.1 です。
アドレス：http://www.dguv.de/bgia/en/pra/softwa/sistema/index.jsp
ダウンロードファイル名とデータ容量： SISTEMA.ZIP

サイズ:10.1MB

2.2.1 ダウンロード方法
上記アドレスにアクセスすると下記の画面となる。
上記の画面から、DownloadVersion:1.1.1 を押すと次ページの画面になる。
e-mail address に自分のメールアドレスを入力して、Submit(送信)を押す。
自分のメールボックスに BGIA より SISTEMA をダウンロードするためのリンクデータが送信される。
メールに記載のリンクは次のようになっており(Click this link to download the software)、
リンクを押すと下記のホームページが開く。
BGIA より SISTEMA のアップデート情報を送ってもらうかの選択をし、SISTEMA Download のボタンを押すと“SISTEMA.ZIP”のダウンロードが開始される。

2.2.2 インストール方法
ダウンロードした SISTEMA ファイルは、ZIP 形式となっていますので、解凍する必要がある。
別途 ZIP を解凍するソフトが必要である。
SISTEMA.ZIP ファイルを解凍すると、SISTEMA フォルダが前記ファイルと同じ場所に下記のファイルが作成される。
SISTEMA_1_1_1.exe、

サイズ：10.1MB

このファイルをインストールすると、SISTEMA が使用できる。

185

2.3 SISTEMA 基本操作説明
2.3.1 Main window（メイン画面）
SISTEMA のメイン画面は以下の領域に分割されています。
①メニューバー（Menu bar）

⑤ワークスペース（Workspace）②ツールバー（Tool bar）

⑦インスタントヘルプ（Instant Help）③ナビゲーションパネル
（Navigation panel）④コンテクストパネル（Context panel）⑧ステータスバー（Status bar）

⑥メッセージパネル（Message panel）① メニューバー（Menu bar）：すべての操作へアクセスできます。
② ツールバー（Tool bar）：頻繁に使用される操作へ高速アクセスできます。
③ ナビゲーションパネル（Navigation pane）：
ロードされた projects に関するツリー構造で、下位レベル objects の全てを表示します。
④ コンテクストパネル（Context pane）：
現在、選択されている、最上位レベルの objects の主なパラメタ値を表示します。
⑤ ワークスペース（Workspace）：選択された object の詳細情報を表示します。
⑥ メッセージパネル（Message pane）：
選択された object に関連する警告やエラーメッセージのような情報を表示します。
⑦ インスタントへルプ（Instant Help）：文脈特有のヘルプ情報を表示します。
⑧ ステータスバー（Status bar）：SISTEMA に関連する様々な状態情報を表示します。

186

2.3.2 ナビゲーションパネルのオブジェクトタイプ（Object type）の記号説明
SISTEMA は 7 つの異なったタイプのオブジェクトがあります。
・PR：プロジェクト（Project）
セーフティファンクションオブジェクトタイプの上にそれは階層構造に位置します。
プロジェクトはいくつかのセーフティファンクション（安全機能）を含むかもしれません。
プロジェクト自体はオブジェクトタイプの階層構造の最上位レベルを構成します。
・SF：セーフティファンクション（Safety function）
プロジェクトの下位で、サブシステムの上位の階層構造に位置します。
その故障が直接リスク増加につながるかもしれない分析中の機械のどんな機能もセーフティ・
ファンクションとして記述されます。
セーフティファンクションは 1 つ以上のサブシステムで実行されます。
・SB：サブシステム（Subsystem）
セーフティファンクションの下位で、チェンネル／テストチャンネルの上位の階層構造に位置します。サブシステムは、安全関連の信号を処理して、発生させる制御システムの一部です。いくつかのサブシステムがセーフティファンクションの実現のためのシリーズアレンジメ
ントで接続されるのは、可能です。 一般に、サブシステムは指定された構造を満たします。
この場合、基本的構造はチャンネルの数と、そしてテスト装置(カテゴリ 2 だけにおける) の項目によって決定します。
・CH：チェンネル（Channel）
サブシステムは１か２個のチャンネルで構成されます。チェンネルオブジャクトはブロックで構成され、マルチチャンネル構造のモデル化を可能にします。 チャンネルの数は、より上位レベルのサブシステムと関連する指定された構造のカテゴリの選択で決定されます。
・TE：テストチャンネル（Test Channel）
カテゴリ２の構造の中では、テストチャンネルやテスト要件の項目がファンクションチャンネ
ルの機能が適切に実行されるかどうかに関する繰り返されたテストの機能を持っています。
チャンネル l のように、テストチャンネルはサブシステムの一部を形成します。
サブシステムは、1 つ未満のテストチャンネルを持っているかもしれません。
・BL：ブロック（Block）
ブロックオブジャクトは論理的なブロック図の中の機能ブロックを構成します。
それは論理的な機能的なユニット(例えば、センサ、論理、メイン接触器)の中でチャンネルを分割します。チャンネルはいつも少なくとも 1 つのブロックを含まれるべきです。
ブロックがその構成エレメントのリストによって、さらに大きいモデル化できます。
・EL：エレメント（Element）
エレメントはオブジェクトタイプの中で最も下位を構成します。
エレメントは機能ブロックが構成している電子の、または、電気機械の、または、水力の、
または、機械的であるか空気のコンポーネントです。

187

2.3.3 操作画面の用語説明

用語の説明
・PL：Performance Level：到達パフォーマンスレベル
・PLr：the required Performance Level：要求パフォーマンスレベル
・PFH：the average probability of a dangerous failure per hour
：時間当たり危険側故障の平均確率
・MTTFd：the Mean Time to a Dangerous Failure：平均危険側故障間隔（平均）時間・DCavg：the average Diagnostic Coverage：平均診断範囲
・CCF：Common Cause Failure：共通原因故障
・B10d：the Mean Number of Cycles until 10% of the Components Fail Dangerously：コンポーネントの 10％が危険側に故障するまでの平均サイクル数
・T10d：the Mean Time until 10% of the Components Fail Dangerously：コンポーネントの 10％が危険側に故障までの平均時間
・nop：the Mean Number of Annual Operations：通常操作での平均回数
・hop：the Mean Operation Hour per Day：１日の稼動時間（単位：hour/day）・dop：the Mean Operation Days per Year：年間稼働日（単位：day/year）
・Tcycle：the Mean Time between the Beginning of Two Successive Cycles of the Component：１操作サイクルの平均時間間隔（単位：second/cycle）

188

2.3.4 その他の操作説明④Report 作成①Workspace 切替タブ
⑤Help 表示②Library 編集③Wizard 表示

各パネルはエリアを拡大したり、縮小したりできます。
②Library 編集① Workspace 切替タブ
ワークスペースでの入力項目により、切替タブがあり、入力画面を切り替えることができます。
② Library 編集
ライブラリの編集ができます。
③ Wizard 表示
ウィザードの表示を行いことができます。
④ Report 作成
作成したプロジェクトに対する内容を、レポート形式でプリント出力できます。
⑤ Help 表示
SISTEMA の操作の中で、用語の説明や操作方法について、説明文を見ることができます。

189

（1）Library 編集の説明
ツールバーの Lobrary 表示のボタンをクリックすると、ライブラリが編集できます。

190

（2）Report 作成の説明
ツールバーの Report 表示のボタンをクリックすると、レポートが作成できます。
このレポートは、プリント出力することができます。

191

（3）Help 表示の説明
ツールバーの Help 表示のボタンをクリックすると、各機能、用語、記号などの説明を見ることができます。
①目次（ツリー構造）②説明文① 目次（ツリー構造）
目次がツリー構造で表示されます。項目をクリックすると、その説明が表示されます。

192

② 説明文
各機能、用語、記号などの詳細な内容説明が分かりやすく表示されます。
また、説明文内の各機能、用語、記号などアンダラインのある単語をクリックすると、
さらに、その単語の説明文を表示します。
2.3.5 メッセージパネル（Massage pane）の説明

193

（1）警告、エラーメッセージ表示の説明①②③④

SISTEMA は 3 つのステータス（Status（状態））で、判断し表示します。
・緑色は、オブジェクトが警告、誤り、矛盾、または満たされていない状態もないことを意味しています。但し、メッセージパネル内のあらゆる情報を確認してください。
・黄色は、オブジェクトに対し、少なくとも 1 つの警告が発行されたことを意味します。
メッセージパネル内の説明文を確認してください。
・赤色は、オブジェクトに対し、少なくとも 1 つの誤り、矛盾、または満たされていない状態を含んでいることを意味します。メッセージパネル内の説明文を確認してください。

構成が完成した時、プロジェクトの状態が赤色でないこと確認してください。 プロジェクトの状
態が黄色や赤色であるなら、どのような警告かメッセージか、その内容を確認してください。

（2）警告、エラーメッセージ表示（Help 表示内のサンプル）の翻訳
SISTEMA はメッセージパネル内に警告、エラーメッセージ内容を表示します。
例として、Help 表示内のサンプルを翻訳します。
① SF(Safety-related stop function initiated by safeguard)
SF（安全ガードによる安全関連停止機能）
The required performance level(PLr=e) is not reached by this safety function.
Hint : See tab ‘Subsystem’ column ‘PL’
要求されたパフォーマンスレベル(PLr=e)は、このセーフティフンクションで達成されていない。
ヒント：“サブシステム”タブ内の‘PL’欄を見なさい。
② SB(SRP/CS)
Not all the conditions of the chosen category are met.
Please check the list of requirements in the tab ‘category’ of the subsystem.
選択されたカテゴリの全ての状態が合致していません。
サブシステムの‘カテゴリ’タブ内の要求事項のリストを確認しなさい。

194

③ CH(Channel1)
CH(チェンネル１)
The channels MTTFd has been cut from originally 1893,94 to 100 a.
For a channel 100 a is the maximum acceptable mean time to a dangerous failure.
チャンネルの MTTFd は、オリジナルの 1893,94 年から 100 年にカットされなけれならない。
チャンネルの 100 年は、危険側故障の最大容認平均時間です。
④ BL（unknown block）
BL（未確認のブロック）
Please enter a name for this block.
このブロックのための名前を入力しなさい。
2.4 SISTEMA の回路例による操作説明
本章では、BGIA Report 02-2008e に記載してある回路例の 5、9、17 の 3 つの回路によるパフォーマンス・レベル(PL)を SISTEMA で計算するための入力方法の概要を説明する。
2.4.1 回路例 5：可動式ガードの位置監視-カテゴリ 1(PL=c)（1）プロジェクト(Project)
1）プロジェクトの作成
2

1

3

初めて SISTEMA を起動しますと、上記の画面が表示される。この画面から、各種データの作成を行う。まずは、プロジェクト(Project)を作成する。プロジェクトは、メニューバ
1 ファイル(File)の新規(New)から作成する。又は、ツールバーの □2 ウィザード
ーの □(Wizard)を開いて、□
3 ニュー･プロジェクト(New Project)から作成する。

1952）プロジェクトのドキュメントデータの入力

プロジェクトを作成すると上記の画面が表示される。この画面の Project name, Author,
Dangerous point/machine, Documentation の項目に必要事項を入力する。なお、各フォルダ(folder)の設定は、デフォルトのままとするが必要があれば変更する。
3）セーフティ･ファンクションの作成

4

プロジェクトにセーフティ･ファンクション(Safety function)の項目を作成する場合、上記画面を開いて、□4 新規(New)をクリックする。もし、セーフティ･ファンクションが複数ある場合は、上記画面から新規(New)をクリックして追加を行う。

196

（2）セーフティ･ファンクション(Safety function)1）セーフティ･ファンクションのドキュメントデータの入力

セーフティ･ファンクションを作成すると上記の画面が表示される。この画面の Name ofsafety function, Triggering event, Reaction, Safe state, Documentation の項目に必要事項を入力する。Type of safety function は、必要なタイプを選択する。
2）要求パフォーマンス･レベルの入力①直接入力

このセーフティ･ファンクションの要求パフォーマンス･レベル(PLr)を入力する方法は、
2 つある。ひとつは、上記画面のように直接 PLr を入力する方法である。このとき、要求パフォーマンス･レベルを選定した理由や情報源について記載する。
(Documentation/reasoning, Source へ記入)

197

②リスクグラフによる選択入力

もうひとつは、要求パフォーマンス･レベルを上記画面のリスクグラフ(risk graph)から求める方法である。要求パフォーマンス・レベルは、どちらかの方法で入力する。
3）パフォーマンス･レベルの判定結果

この画面は、下位にあるサブシステム(subsystem)から計算されたパフォーマンス･レベ
ルと PFH(1/h)が表示される。

1984）サブシステムの作成

5

セーフティ･ファンクションにサブシステム(Subsystem)の項目を作成する場合、上記画
5 新規(New)をクリックする。もし、サブシステムが複数ある場合は、上記面を開いて、□画面から新規(New)をクリックして追加を行う。
（3）サブシステム（Subsystem）
1）サブシステムのドキュメントデータの入力

サブシステムを作成すると上記の画面が表示される。この画面の Name of Subsystem,
Documentation の項目に必要事項を入力する。

199

2）パフォーマンス･レベル(PL)の入力、又は表示

サブシステムのパフォーマンス･レベルは、上記画面を開いて選択する。入力は、直接入力する方法とサブシステムのカテゴリ、MTTFd と DCavg より求める方法の 2 つがある。通常は、後者の方法を選択する。
3）カテゴリの選択

サブシステムのカテゴリ(B、1、2、3、4)を選択する場合は、上記画面を開いて選択する。
要求パフォーマンス･レベルにあったカテゴリを選択し、各カテゴリ要求(Requirements
for the category) を 満 足 し て い る か チ ェ ッ ク を す る 。 必 要 な 場 合 、Documentation/reasoning に記入する。カテゴリを選択すると、カテゴリに応じたチャンネルが作成される。
また、カテゴリ B や 1 では、システム内には診断範囲はなく(DCavg=0%)、そのような構造(単一チャンネルシステム)においては、共通原因故障(CCF)の考慮が不要となる。
そのため SISTEMA では、カテゴリ B や 1 を選択すると DCavg と CCF の入力項目が表示されなくなる。

200

4）危険側故障までの平均時間(MTTFd)の入力、又は表示

サブシステムの MTTFd の入力方法は、上記画面を開いて選択する。入力は、直接入力する方法とブロック(block)の MTTFd より求める方法の 2 つがある。通常は、後者の方法を選択する。
5）サブシステムからのブロックの作成

サブシステムにブロック(Block)の項目を作成する場合、上記画面を開いて、新規(New)をクリックする。もし、ブロックが複数ある場合は、上記画面から新規(New)をクリックして追加を行う。

2016）チャンネルからのブロックの作成
チャンネル(Channel)は、サブシステムで選択したカテゴリにより、チャンネル 1(CH1)、
チャンネル 2(CH2)、テストチャンネル(TE)が作成される。

6
7

6 チャンネル(Channel)から上記画面を開いて、□7 新規(New)又は、左側のディレクトリの□をクリックし、ブロック(Block)の項目を作成する。もし、ブロックが複数ある場合は、上記
画面から新規(New)をクリックして追加を行う。
（4）ブロック(Block)1）ブロックのドキュメントデータの入力

ブロックを作成すると上記の画面が表示される。この画面の Name of block, Documentationの項目に必要事項を入力する。

2022）危険側故障までの平均時間(MTTFd)の入力、又は表示ブロックの MTTFd の入力方法は、上記画面を開いて選択する。入力は、直接入力する方法とエレメント(element)の MTTFd より求める方法の 2 つがある。通常は、後者の方法を選択する。
3）診断範囲(DC)の入力

ブロックの DC の入力方法は、上記画面を開いて選択する。入力は、直接入力する方法、エレメント(element)の DC より求める方法、ISO 13849-1 の付属書 E の表 E1 から選択する方法の 3 つがある。表 E1 からの選択方法は、上記画面で“Select applied measures to evaluate
DC”を選択する。これを選択すると画面が変更される。表示された画面の下側に“Library”の表示がありますので、そこを押すと表 E1 がポップアップされる。表示された表 E1 の項目を選択し、“Load Selection”を押すと DC の値が入力される。
なお、本回路例では、カテゴリが 1 のため DC の入力は不要である。

203

4）ブロックからのエレメントの作成

8

8 新規(New)
ブロックにエレメント(Element)の項目を作成する場合、上記画面を開いて、□をクリックする。もし、エレメントが複数ある場合は、上記画面から新規(New)をクリックして追加を行う。
（5）エレメント(Element)
1）エレメントのドキュメントデータの入力

エ レ メ ン ト を 作 成 す る と 上 記 の 画 面 が 表 示 さ れ る 。 こ の 画 面 の Name of element,
Documentation の項目に必要事項を入力する。

204

2）危険側故障までの平均時間（MTTFd）の入力

エレメントの MTTFd の入力方法は、上記画面を開いて選択する。入力は、直接入力する方法と B10d と nop の値から MTTFd より求める方法の 2 つがある。 B10d と nop の値から MTTFdを計算する場合、B10d と nop の値を直接入力する仕方と ISO 13849-1 の附属書 C の表 C1 から MTTFd や B10d を選択する仕方がある。表 C1 から選択する仕方は、上記画面の“Typicalcomponents values (Good engineering practice method)”を押す。押すと表 C1 が表示されるので、該当する項目を選択し、OK を押す。OK を押したら、選択した MTTFd や B10d が入力される。
3）追加されたエレメントの選択

9ブロックで追加されたエレメントの選択は、左側のディレクトリの□9 該当項目をクリックすることにより、上記画面が表示される。表示されたら、前で記載した内容と同様に必要なデータを入力する。

205

（6）追加されたブロックの選択

10

サブシステムで追加されたブロックの選択は、左側のディレクトリの□10 該当項目をクリックすることにより、上記画面が表示される。表示されたら、前で記載した内容と同様に必要なデータを入力する。このブロックの下位にあるエレメントも前で記載した内容と同様に必要なデータを入力する。
（7）作成したデータのレポート印刷

11

このようにして、各項目の必要なデータを入力することにより、パフォーマンス･レベル(PL)や PFH(1/h)が計算され、要求パフォーマンス･レベルと同等になっているか自動的に計算される。計算された結果の印刷は、ツールバーの□
11 レポート(Report)から行う。レポートを押すとプレビュー画面が開くので、左上のファイル(File)から印刷(Print)を選択して印刷する。また、ファイル(File)から“Save As”を選択すると PDF ファイルの保存ができる。しかし、“Save AS”で保存した PDF ファイルが開かない場合がある。その場合は、ファイル(File)で印刷を選択して、印刷する場合のプリンタ設定で PDF 作成や TIF 作成を行う。

206

2.4.2 回路例 9：試験済み光バリア-カテゴリ 2- PL=c（1）プロジェクト(Project)
1）プロジェクトの作成

2

1

3

初めて SISTEMA を起動すると、上記の画面が表示される。この画面から、各種データの作成を行う。まずは、プロジェクト(Project)を作成する。プロジェクトは、メニューバーの□
1
ファイル(File)の新規(New)から作成する。又は、ツールバーの□2 ウィザード(Wizard)を開
3 ニュー･プロジェクト(New Project)から作成する。
いて、□
2）プロジェクトのドキュメントデータの入力

プロジェクトを作成すると上記の画面が表示される。この画面の Project name, Author,
Dangerous point/machine, Documentation の項目に必要事項を入力する。なお、各フォルダ(folder)の設定は、デフォルトのままとするが必要があれば変更する。

2073）セーフティ･ファンクションの作成

4

プロジェクトにセーフティ･ファンクション(Safety function)の項目を作成する場合、上4 新規(New)をクリックする。もし、セーフティ･ファンクションが複数あ
記画面を開いて、□る場合は、上記画面から新規(New)をクリックして追加を行う。
（2）セーフティ･ファンクション(Safety function)1）セーフティ･ファンクションのドキュメントデータの入力

セーフティ･ファンクションを作成すると上記の画面が表示される。この画面の Name ofsafety function,Triggering event, Reaction, Safe state, Documentation の項目に必要事項を入力する。Type of safety function は、必要なタイプを選択する。

208

2）要求パフォーマンス･レベルの入力①直接入力

このセーフティ･ファンクションの要求パフォーマンス･レベル(PLr)を入力する方法は、
2 つある。ひとつは、上記画面のように直接 PLr を入力する方法である。このとき、要求
パフォーマンス･レベルを選定した理由や情報源について記載する。
(Documentation/reasoning, Source へ記入)
②リスクグラフによる選択入力
もうひとつは、要求パフォーマンス･レベルをリスクグラフ(risk graph)から求める方法である。要求パフォーマンス・レベルはどちらかの方法で入力する。
3）パフォーマンス･レベルの判定結果

この画面は、下位にあるサブシステム(subsystem)から計算されたパフォーマンス･レベルと PFH(1/h)が表示される。

2094）サブシステムの作成

5

セーフティ･ファンクションにサブシステム(Subsystem)の項目を作成する場合、上記画面
5 新規(New)をクリックする。もし、サブシステムが複数ある場合は、上記画面を開いて、□
から新規(New)をクリックして追加を行う。
（3）サブシステム(Subsystem)
1）サブシステムのドキュメントデータの入力

サブシステムを作成すると上記の画面が表示される。この画面の Name of Subsystem,
Documentation の項目に必要事項を入力する。

210

2）パフォーマンス･レベルの入力、又は表示

サブシステムのパフォーマンス･レベルは、上記画面を開いて選択する。入力は、直接入力する方法とサブシステムのカテゴリ、MTTFd と DCavg より求める方法の 2 つがある。通常は、後者の方法を選択する。
3）カテゴリ(Category)の選択

サブシステムのカテゴリ(B、1、2、3、4)を選択する場合は、上記画面を開いて選択する。
要求パフォーマンス･レベルにあったカテゴリを選択し、各カテゴリ要求(Requirements forthe category)を満足しているかチェックをする。必要な場合、Documentation/reasoning に記入する。カテゴリを選択すると、カテゴリに応じたチャンネルが作成される。
また、カテゴリ B や 1 では、システム内には診断範囲はなく(DCavg=0%)、そのような構造(単一チャンネルシステム)においては、共通原因故障(CCF)の考慮が不要となる。
そのため SISTEMA では、カテゴリ B や 1 を選択すると DCavg と CCF の入力項目が表示されなくなる。
本回路例では、カテゴリ 2 を選択しているのでチャンネル 1 とテストチャンネルが作成さ
れる。

211

4）危険側故障までの平均時間(MTTFd)の入力、又は表示

サブシステムの MTTFd の入力方法は、上記画面を開いて選択する。入力は、直接入力する
方法とブロック(block)の MTTFd より求める方法の 2 つがある。通常は、後者の方法を選択する。
5）平均診断範囲(DCavg)の入力、又は表示

サブシステムの DCavg の入力方法は、上記画面を開いて選択する。入力は、直接入力する
方法とブロック(block)の DCavg より求める方法の 2 つがある。通常は、後者の方法を選択する。

2126）共通原因故障(CCF)の入力

サブシステムの CCF の入力方法は、上記画面を開いて選択する。入力は、直接入力する方
法と Library(ISO 13849-1:2006 附属書 F の表 F.1)から項目を選択していく方法の 2 つがある。
7）サブシステムからのブロックの作成

6

サブシステムにブロック(Block)の項目を作成する場合、上記画面を開いて、□6 新規(New)をクリックする。もし、ブロックが複数ある場合は、上記画面から新規(New)をクリックして追加を行う。

213

8）チャンネルからのブロックの作成
チャンネルは、サブシステムで選択したカテゴリにより、チャンネル 1,チャンネル 2, テ
ストチャンネルが作成される。

7

8

7 チャンネル(Channel)から上記画面を開いて、□8 新規(New)又は、左側のディレクトリの□をクリックし、ブロック(Block)の項目を作成する。もし、ブロックが複数ある場合は、上記
画面から新規(New)をクリックして追加を行う。
（4）ブロック(Block)1）ブロックのドキュメントデータの入力

ブロックを作成すると上記の画面が表示される。この画面の Name of block, Documentationの項目に必要事項を入力する。

2142）危険側故障までの平均時間(MTTFd)の入力、又は表示ブロックの MTTFd の入力方法は、上記画面を開いて選択する。入力は、直接入力する方法とエレメント(element)の MTTFd より求める方法の 2 つがある。通常は、後者の方法を選択する。
3）診断範囲(DC)の入力、又は表示ブロックの DC の入力方法は、上記画面を開いて選択する。入力は、直接入力する方法、エレメント(element)の DC より求める方法、ISO 13849-1 の付属書 E の表 E1 から選択する方法の 3 つがある。表 E1 からの選択方法は、上記画面で“Select applied measures to evaluate
DC”を選択する。これを選択すると画面が変更される。表示された画面の下側に“Library”の表示があるので、そこを押すと表 E1 がポップアップされる。表示された表 E1 の項目を選択し、“Load Selection”を押すと DC の値が入力される。

215

4）ブロックからのエレメントの作成

9

ブロックにエレメント(Element)の項目を作成する場合、上記画面を開いて、□9 新規(New)をクリックする。もし、エレメントが複数ある場合は、上記画面から新規(New)をクリックして追加を行う。
（5）エレメント(Element)
1）エレメントのドキュメントデータの入力

エ レ メ ン ト を 作 成 す る と 上 記 の 画 面 が 表 示 さ れ る 。 こ の 画 面 の Name of element,
Documentation の項目に必要事項を入力する。

2162）危険側故障までの平均時間(MTTFd)の入力

エレメントの MTTFd の入力方法は、上記画面を開いて選択する。入力は、直接入力する方法と B10d と nop の値から MTTFd より求める方法の 2 つがある。 B10d と nop の値から MTTFdを計算する場合、B10d と nop の値を直接入力する仕方と ISO 13849-1 の附属書 C の表 C1 から MTTFd や B10d を選択する仕方がある。表 C1 から選択する仕方は、上記画面の“Typicalcomponents values (Good engineering practice method)”を押す。押すと表 C1 が表示されますので、該当する項目を選択し、OK を押す。OK を押したら、選択した MTTFd や B10d が入力される。
3）診断範囲(DC)の入力

ブロックの DC の入力方法は、上記画面を開いて選択する。入力は、直接入力する方法、ISO13849-1 の付属書 E の表 E1 から選択する方法の 2 つがある。表 E1 からの選択方法は、上記
画面で“Select applied measures to evaluate DC”を選択する。これを選択すると画面が変更される。表示された画面の下側に“Library”の表示があるので、そこを押すと表 E1 がポップアップされる。表示された表 E1 の項目を選択し、“Load Selection”を押すと DC の値が入力される。

217

（6）追加されたブロックの選択

10

10 該当項目をクリック
サブシステムで追加されたブロックの選択は、左側のディレクトリの□することにより、上記画面が表示される。表示されたら、前で記載した内容と同様に必要なデータを入力する。このブロックの下位にあるエレメントも前で記載した内容と同様に必要なデータを入力する。
（7）テストチャンネルからのブロックの作成

11

11 TE(テスト
テストチャンネルにブロック(Block)を作成する場合は、左側のディレクトリの□チャンネル)から上記画面を開いて、新規(New)をクリックし、ブロック(Block)の項目を作成する。作成したブロックやエレメントのデータは、前で記載した内容と同様にて入力する。

218

（8）追加されたサブシステムの選択

12

セーフティファンクションで作成されたサブシステムの選択は、左側のディレクトリの□12 該
当項目をクリックすることにより、上記画面が表示される。表示されたら、前で記載した内容と同様に必要なデータを入力する。このサブシステムの下位で作成したブロック、エレメント
も前で記載した内容と同様に必要なデータを入力する。
（9）作成したデータのレポート印刷
13

このようにして、各項目の必要なデータを入力することにより、パフォーマンス･レベル(PL)や PFH(1/h)が計算され、要求パフォーマンス･レベルと同等になっているか自動的に計算され13 レポート(Report)から行う。レポートを押すとる。計算された結果の印刷は、ツールバーの□プレビュー画面が開くので、左上のファイル(File)から印刷(Print)を選択して印刷する。また、ファイル(File)から“Save As”を選択しますと PDF ファイルの保存ができる。しかし、“SaveAS”で保存した PDF ファイルが開かない場合がある。その場合は、ファイル(File)で印刷を選択して、印刷する場合のプリンタ設定で PDF 作成や TIF 作成を行う。

219

2.4.3 回路例 17：安全モジュールによる保護装置のカスケード-カテゴリ 3 (PL=d)（1）プロジェクト(Project)21）プロジェクトの作成

1

3

初めて SISTEMA を起動しますと、上記の画面が表示される。この画面から、各種データの作成を行う。まずは、プロジェクト(Project)を作成する。プロジェクトは、メニューバーの1 ファイル(File)の新規(New)から作成する。又は、ツールバーの□2 ウィザード(Wizard)□
3 ニュー･プロジェクト(New Project)から作成する。
を開いて、□
2）プロジェクトのドキュメントデータの入力

プロジェクトを作成すると上記の画面が表示される。この画面の Project name, Author,
Dangerous point/machine, Documentation の項目に必要事項を入力する。なお、各フォルダ(folder)の設定は、デフォルトのままとするが必要があれば変更する。

2203）セーフティ･ファンクションの作成

4

プロジェクトにセーフティ･ファンクション(Safety function)の項目を作成する場合、上4 新規(New)をクリックする。もし、セーフティ･ファンクションが複数あ
記画面を開いて、□る場合は、上記画面から新規(New)をクリックして追加を行う。
（2）セーフティ･ファンクション(Safety function)1）セーフティ･ファンクションのドキュメントデータ入力

セーフティ･ファンクションを作成すると上記の画面が表示される。この画面の Name ofsafety function, Triggering event, Reaction, Safe state, Documentation の項目に必要事項を入力する。Type of safety function は、必要なタイプを選択する。

221

2）要求パフォーマンス･レベルの入力①直接入力

このセーフティ･ファンクションの要求パフォーマンス･レベル(PLr)を入力する方法は、
2 つある。ひとつは、上記画面のように直接 PLr を入力する方法である。このとき、要求
パフォーマンス･レベルを選定した理由や情報源について記載する。
(Documentation/reasoning, Source へ記入)
②リスクグラフによる選択入力
もうひとつは、要求パフォーマンス･レベルをリスクグラフ(risk graph)から求める方法である。要求パフォーマンス・レベルはどちらかの方法で入力する。
3）パフォーマンス･レベルの判定結果

この画面は、下位にあるサブシステム(subsystem)から計算されたパフォーマンス･レベルと PFH(1/h)が表示される。

222

4）サブシステムの作成

5

セーフティ･ファンクションにサブシステム(Subsystem)の項目を作成する場合、上記画面を開いて、□
5 新規(New)をクリックする。もし、サブシステムが複数ある場合は、上記画面から新規(New)をクリックして追加を行う。
（3）サブシステム(Subsystem)
1）サブシステムのドキュメントデータの入力

サブシステムを作成すると上記の画面が表示される。この画面の Name of Subsystem,
Documentation の項目に必要事項を入力する。

223

2）パフォーマンス･レベルの入力、又は表示

サブシステムのパフォーマンス･レベルは、上記画面を開いて選択する。入力は、直接入力する方法とサブシステムのカテゴリ、MTTFd と DCavg より求める方法の 2 つがある。通常は、後者の方法を選択する。直接入力すると、MTTFd の入力は必要なくなる。
3）カテゴリの選択

サブシステムのカテゴリ(B、1、2、3、4)を選択する場合は、上記画面を開いて選択する。
要求パフォーマンス･レベルにあったカテゴリを選択し、各カテゴリ要求(Requirements forthe category)を満足しているかチェックをする。必要な場合、Documentation/reasoning に記入する。カテゴリを選択すると、カテゴリに応じたチャンネルが作成される。
また、カテゴリ B や 1 では、システム内には診断範囲はなく(DCavg=0%)、そのような構造(単一チャンネルシステム)においては、共通原因故障(CCF)の考慮が不要となる。
そのため SISTEMA では、カテゴリ B や 1 を選択すると DCavg と CCF の入力項目が表示されなくなる。この例では、カテゴリ 2 を選択しているのでチャンネル 1 とテストチャンネルが作成される。

2244）危険側故障までの平均時間(MTTFd)の入力、又は表示

サブシステムの MTTFd の入力方法は、上記画面を開いて選択する。入力は、直接入力する
方法とブロック(block)の MTTFd より求める方法の 2 つがある。通常は、後者の方法を選択する。
5）サブシステムからのブロックの作成

6

6 新規(New)
サブシステムにブロック(Block)の項目を作成する場合、上記画面を開いて、□をクリックする。もし、ブロックが複数ある場合は、上記画面から新規(New)をクリックして追加を行う。

225

6）チャンネルからのブロックの作成
チャンネルは、サブシステムで選択したカテゴリにより、チャンネル 1、チャンネル 2、
テストチャンネルが作成される。

78

又は、左側のディレクトリの□7 チャンネル(Channel)から上記画面を開いて、□8 新規(New)をクリックし、ブロック(Block)の項目を作成する。もし、ブロックが複数ある場合は、上記
画面から新規(New)をクリックして追加を行う。
（4）ブロック(Block)1）ブロックのドキュメントデータの入力

ブロックを作成すると上記の画面が表示される。この画面の Name of block, Documentationの項目に必要事項を入力する。

2262）危険側故障までの平均時間(MTTFd)の入力、又は表示ブロックの MTTFd の入力方法は、上記画面を開いて選択する。入力は、直接入力する方法とエレメント(element)の MTTFd より求める方法の 2 つがある。通常は、後者の方法を選択する。
3）診断範囲(DC)の入力

ブロックの DC の入力方法は、上記画面を開いて選択する。入力は、直接入力する方法、エレメント(element)の DC より求める方法、ISO 13849-1 の付属書 E の表 E1 から選択する方法の 3 つがある。表 E1 からの選択方法は、上記画面で“Select applied measures to evaluate
DC”を選択する。これを選択すると画面が変更される。表示された画面の下側に“Library”の表示があるので、そこを押すと表 E1 がポップアップされる。表示された表 E1 の項目を選択し、“Load Selection”を押すと DC の値が入力される。

227

4）ブロックからのエレメントの作成

9

ブロックにエレメント(Element)の項目を作成する場合、上記画面を開いて、□9 新規(New)をクリックする。もし、エレメントが複数ある場合は、上記画面から新規(New)をクリックして追加を行う。
（5）エレメント(Element)
1）エレメントのドキュメントデータの入力

エ レ メ ン ト を 作 成 す る と 上 記 の 画 面 が 表 示 さ れ る 。 こ の 画 面 の Name of element,
Documentation の項目に必要事項を入力する。

2282）危険側故障までの平均時間(MTTFd)の入力

エレメントの MTTFd の入力方法は、上記画面を開いて選択する。入力は、直接入力する方法と B10d と nop の値から MTTFd より求める方法の 2 つがある。 B10d と nop の値から MTTFdを計算する場合、B10d と nop の値を直接入力する仕方と ISO 13849-1 の附属書 C の表 C1 から MTTFd や B10d を選択する仕方がある。表 C1 から選択する仕方は、上記画面の“Typicalcomponents values (Good engineering practice method)”を押す。押すと表 C1 が表示されるので、該当する項目を選択し、OK を押す。OK を押したら、選択した MTTFd や B10d が入力される。
（6）追加されたブロック(Block)の選択

10

サブシステムで追加されたブロックの選択は、左側のディレクトリの□10 該当項目をクリックすることにより、上記画面が表示される。表示されたら、前で記載した内容と同様に必要なデータを入力する。このブロックの下位にあるエレメントも前で記載した内容と同様に必要なデータを入力する。

229

（7）チャンネル 2 からのブロックの作成

11

11 CH2(チャンネチャンネル 2 にブロック(Block)を作成する場合は、左側のディレクトリの□ル 2)から上記画面を開いて、新規(New)をクリックし、ブロック(Block)の項目を作成する。作
成したブロックやエレメントのデータは、前で記載した内容と同様にて入力する。
（8）追加されたサブシステムの選択

12

12 該
セーフティファンクションで作成されたサブシステムの選択は、左側のディレクトリの□当項目をクリックすることにより、上記画面が表示される。表示されたら、前で記載した内容と同様に必要なデータを入力する。このサブシステムの下位で作成したブロック、エレメント
も前で記載した内容と同様に必要なデータを入力する。

230

（9）追加されたセーフティファンクションの選択

プロジェクトで追加されたセーフティファンクションの選択は、左側のディレクトリの該当項目をクリックすることにより、上記画面が表示される。表示されましたら、前で記載した内容と同様に必要なデータを入力する。さらに、この下位に作成したサブシステム、ブロック、
エレメントも前で記載した内容と同様に必要なデータを入力する。
（10）作成したデータのレポート印刷
13

このようにして、各項目の必要なデータを入力することにより、パフォーマンス･レベル(PL)や PFH(1/h)が計算され、要求パフォーマンス･レベルと同等になっているか自動的に計算される。計算された結果の印刷は、ツールバーの□
13 レポート(Report)から行う。レポートを押すとプレビュー画面が開くので、左上のファイル(File)から印刷(Print)を選択して印刷する。また、ファイル(File)から“Save As”を選択すると PDF ファイルの保存ができる。しかし、“Save AS”で保存した PDF ファイルが開かない場合がある。その場合は、ファイル(File)で印刷を選択して、印刷する場合のプリンタ設定で PDF 作成や TIF 作成を行う。

231

3．ISO 13849-1:2006 の疑問点と BG からの回答
下表は、当委員会において抽出した ISO 13849-1:2006 の疑問点と、BG からの回答を紹介したものである。回答（その 1）の 1～16 は、当委員会から事前に BG へ質問した内容とその回答であり、回答（その 2）の 17～24 は、当委員会が実施した BG の講習会における質疑を要約して記載したものである。

ISO 13849-1：2006 Question and BG answer
No

Question

Answer1

1. If MTTFd and /or ß10d value are
If MTTFd and/or B10d are not supplied from component not available frommanufacturers,
the component manufacturer you
may we calculate them from those components' lifetime can use(the values in the Annex are too big)?
a. methods in annexes C and D,
b. Choose ten years

2

Assuming that electrical life is B10 and fault on
hazardous side occurs in the percentage of 50%,
may we take B10d as the twice of electrical life?

3

If the values of MTTFd and/or B10 are not supplied
from manufacturers,
may we use the standard values of "Table C.1 3. see answer 1
International Standards dealing with MTTFd or B10d
for components"?
If so, please advise us of what we should note.

4

5

6

7

When calculating MTTFd in case of using our own madecircuit baords for safety-related parts, should we
calculate 1/MTTFd for each component used andtotaling all calculated values as described in "Table
D.1 - Example of the parts list of a circuit board"of Annex D, D.1 Parts count method?
Do you recommend any reliability database? If B10d,
etc. are taken from such database, is suitability of
selection of database required (which kind ofreliability database can be used)?
The standard contains a method of converting SIL of
subsystem to PL in case data required for calculationof PL such as MTTFd or DC is not disclosed. Is there
any concern on such conversion without efforts toobtain necessary data?
May we use data supplied from component manufacturers
such as B10d as a basis of calculation as is? Pleaseadvise us of conditions of use of such manufacturers'
data for calculation, if any.

232

2. ß10d is estimated as two timesß10 (50 % dangerous failure seeannex C）

4. if you make the quantificationfor one channel taking into accountyour own circuit board
you have to use the formula forthe part count method.
5. I recommend the data base from SN
29500
6. In the case you have PFH value ofcategory IV system you candetermine
the DC=99% and the MTTFd(depents of PFH value).
7. As the result of the validation
you have to checkthe reasonability of thereleased data of the manufacturer.

8

9

10

11

12

13

14

15

8. For bussystem you have taken toaccount the 1 % rule
If Remote I/O Link or the like is used for PLC, can(limit the residual error rate to
we take the PLC as a single component, or should we
1% of the maximum value permitted
take each of them as separate component forfor
calculation?
the probability of a dangerous
failure per hour)
For output components, if two safety relays are usedin parallel for output and two of their contacts are
9. Logical you have to make theused in serial connection, should we calculate as one
calculation
safety relay? If the two relays are treated asof MTTF d for a redundant systemcomponent, MTTFd becomes 1/2. We think the(single fault system).
reliability against fault becomes twice, but it has
not been cleared up that MTTFd decreases.
Regarding the requirement of multiplying 2/3 or using
lower MTBF when estimating MTBF of parallel redundant
system, if the parallel redundant system is dual
10. My proposal is to select thesystem, the formula is defined. How about 3-way
channel with the highest
system? At first, should we calculate for dual
MTTFd values and make diesystem, and then calculate for the first calculation
calculation with symmetrizationand the remaining one system in the formula of dual
formula.
system? Or should we select and calculate the higher
two systems? It is not clear that MTTFd decreases
though redundancy is provided by 3-way system.
11. In the case the proximity switch
How should we determine cycle of proximity switch
is a wear component
detecting rotation of machine? In case of 60rpm, theyou have to make thecycle is one rotation per one second. This means Nop
calculation taking into accountwill be bigger and MTTFd will be smaller.
ß10d
Is it acceptable to use output results of SISTEMA for
results of PL calculation to include in declaration 12. It is acceptable to use output
for CE marking? Are documents of hand calculation results SISTEMA
required?
Is there any checklist containing scores like CCF for 13. Sorry at this time is no
determination of conformity to safety requirements checklist for the software
for software (e.g. IEC 61508)?
available
14. Table 1 is not longer guilty. If
you make the calculation according
Is it essential to meet specified architecture?
toRegardless of specified architecture, if it can be
the simplified procedure you
verified that PL meets the Table 1, is the PL
have to consider the architectures
permitted? If it is essential to meet specified
mentionedarchitecture, where is it specified in the standard?
in clause 6 of EN ISO 13849-1：
2006
15. The factor 2 / 3 was introduced
The standard prescribes multiplying 2/3 or use of
to give thelower MTBF when estimating MTBF of parallel redundant(Symmetrization of MTTFd) thesystem. We think this denies the intention ofreliability not too great
redundancy. What do you think about this?
importance.

233

16

We found mission time in SISTEMA report. Is themission time guaranteed period of machinery or periodof trial use?
Sometimes we have a calculation result as follows: 16. For wear components where theMission Time(a): 20
T10d is less then 20 years(smaller then the mission time)
MTTFd(a) of channel (CH1): 19.88
If the MTTFd(a) is 19.88 years to the machine's
the wear component has to beguaranteed period of 20 years, is it not acceptable? exchange during the time T10d.
Otherwise, if the total MTTFd of CH1 and CH2 exceeds
20 years, is it acceptable?
Do we need to take care of it?

ISO 13849-1：2006 の疑問点と BG の回答（その１）（仮訳）
No.

質問

回答

1

メーカーから MTTFd または、B10d が得
コンポーネントメーカーから MTTFd や B10d が提示され られないなら、ない場合、そのコンポーネントの電気的寿命から算出 a．ISO 138949-1:2006 付属書 C またしてよいか？（附属書の値があまりに大きいため）は D の値を使用する。
b．10 年を選択する。

2

電気的寿命は、B10 と考え、危険側故障が 50％と考えて、B10d は、電気的寿命の２倍としてよいか？

電気寿命の B10 データの 2 倍と見積もる。（付属書 C 参照）

MTTFd や B10 の数値がメーカーから提供されない場合
は、ISO 13849-1:2006 の附属書 C に記載ある「表 C.1コンポーネントの MTTFd または B10 を扱う国際規格」の標準数値を使用してよいか。
また、使用する場合の注意点は何か。
安全関連部に自社基板を使用している場合の MTTFd を求める場合は、ISO 13849-1:2006 の附属書 D の D.1 のパーツ・カウント・メソッドの「表 D.1-回路基板の部
品リストの例」に記載あるように使用部品ごとの1/MTTFd を求め、合計すればよいか。
推奨データベースはあるのか。B10d などをデータベースから取ったとき、データベース選択の妥当性も認証時に問われるか （どのような信頼性データベースなら使用してもよいか）
MTTFd, DC などの PL を計算するのに必要なデータが開示されていない場合、サブシステムの SIL を PL に置き換えるやり方が記載されているが、必要なデータを入手する努力をせずに置き換えてしまう懸念がないのか。
コンポーネントメーカーから提供される B10d などのデータはそのまま計算基礎として使用してよいのでしょうか。もし、メーカーのこれらデータを計算に使うための条件があるとしたら教えてください。
PLC で、Remote I/O LINK 等を使用した場合、PLC は同一の１つのコンポーネントとして、考えればよいのか？ それとも、それぞれ、コンポーネントとして計算しなければならないのか？

メーカーから MTTFd または、B10d が得られないなら、
a．ISO 138949-1:2006 付属書 C または D の値を使用する。
b．10 年を選択する。

3

4

5

6

7

8

234

パーツカウント方法にてにより数値化する。

私は SN 29500 からデータベースを推薦する。
カテゴリ IV システムの PFH 値を持っているという場合、DC ＝ 99％とMTTFd （ PFH 値に依存 ）を決定することができる。
確証の結果として、製造業者からリリースされたデータの信頼性をチェックしなければならない。
バスシステムには、1 パーセントルール
で考える（エラーレートを時間当たり 1パーセント以内にする）。

9

10

11

12

13

14

15

16

出力部品で、安全リレーを２個並列で出力し、その接点を２個シリアル接続で使用した場合、計算は、安全
冗長システムのために MTTF ｄの計算
リレー１個として、計算するのか。２個をコンポーネをしなければならない（シングルシス
ントとして扱うと、MTTFd は、１／２になっていく。本テム）。
来、故障への信頼性は、２倍になると思うが、MTTFd は下がっていくという点が釈然としません。
並列冗長系の MTBF を評価する時 2/3 をかける、あるいは低い方の MTBF を使うこと が規定されている、という件で、並列冗長系が、２系統の場合、式が定義されていると思うが、３系統の場合などは、どうしたらよ 私の提案は、最も高い MTTFd 値でチャいか？まず、２系統を計算して、さらに、計算したも ンネルを選んで、対称化公式で計算をのと残りの１系統で２系統の計算式で、計算するとい することである。
う方法でよいのか？それとも、選択して、高いもの２つで計算すればよいのか？３系統で冗長させているのに、MTTFd は下がっていくという点が釈然としません。
機械回転を検出する近接スイッチのサイクルは、どう 近接スイッチは、低信頼性部品である。
判断するのか？60rpm で回転すると 1 秒間 1 回になり、 B10d を考慮し計算しなければならな
Nop が大きくなり、結果、MTTFd が小さくなる。
い。
CE マーキングの自己宣言書に PL 計算の結果として、
SISTEMA から出力された結果を使うこ
SISTEMA の出力結果を正式文書としても問題ないか。別とはできる。
に手計算による書類が必要なのか。
ソフトウェアの安全要求事項に関する項目についての判定ができる CCF のような点数付けされたチェックリ
チェックリストはない。
ストのようなものがないのか。例えば、IEC 61508 などに。
ISO 13849-1:2006 の表１は、今は使用
規定アーキテクチャーを満たすことは必須か。それとしても問題ない。
もそれとは無関係に ISO 13849-1:2006 の表１を満たし
簡略化された手順によって計算をするていることを立証できれば規定アーキテクチャーでなならば、ISO 13849-1:2006 の 6 で言及
くとも PL は認められるのか。必須であるとすれば、どされる構造を考慮しなければならなの規定に規定されているのか。
い。
並列冗長系の MTBF を評価する時 2/3 をかける、あるいは低い方の MTBF を使うことが規定されている。このこ 弾力的な数値。信頼性には大きく影響とは冗長化の意味を否定しているように思われるが、 しない。
どのように考えるか。
SISTEM のレポートをみると、ミッションタイムを記入してある。これは機械（製品）保証期間（？）、試用期間（？）？
Ｍｉｓｓｉｏｎ Ｔｉｍｅ（ａ）： 20
チャンネル（CH1）の MTTFd（ａ） ： 19.88
信頼性は低い部品で 20 年未満なら保守という計算になることがある。
などによりその期間を満足させる。
機械（製品）保証期間 20 年に対し、19.88 年では未適合ということになるのか？
それとも、CH1＋CH2 のトータルの MTTFd が、20 年を超えていれば、よいのか？
そこまで、気にしなくてよいのか？

235

ISO 13849-1:2006 の疑問点と BG の回答（その２）
No.
質問

回答
リスク低減を定量的に規定する時に、カテゴリ 1 の故障除去という概念では評価が適切に行えない。ISO 13849-1 では、カテゴリ 1 は最大で PL=“c”まで
対応可能。

17

EN 954-1 の問題点 「カテゴリ 1 での故障除去はリスク低減の決定に不十分な階層に導かれない。」の意味
は？

18

DC の決定（スライド 33）で、SW1 の DC が 99％で SW2の DC が 90%である理由は？

19

SIL2 なら 1ch で良い。SIL3 なら 2ch がガス検知器への要求事項→PL=“d”の中でセンサは 1ch必要。しかしキャリブレーションを頻でよいのか？
繁に実施すれば 1ch でも可。

20

安全ドライブシステムインバーターのパルスブロックによる停止は、電源遮断による停止と同等の安全機能とみなせるのか？

同等である。残留エネルギーの問題も
パルスブロック方式では回避できるという利点あり。

21

安全ドライブシステムインバーターのパルスブロックによる停止回路のカテゴリ、PL は？

カテゴリは 3。PL については自己診断
機能、MTTFd（通常の PLC で 50～70 年）などを考慮して“d”.。

22

安全ドライブシステムインバーターのシャフトレス制
御の場合にも適用できるのか？

適用可能、むしろ軸数の多いシャフト
レス制御の場合に有効である。

23

PG が 1 個でも PL=“d”が達成できる理由は？2ch は必
要ないのか？（モーター速度監視にて）自己診断を常時実施することにより1ch でも問題なし。

並列システムの MTTFd の計算式の 2/3 の意味は？

これは、たとえば MTTFd=100 年のシス
テムを 2ch 並列にすると通常の信頼性
工学の式では、150 年になってしまう。
並列の場合にもシングルの場合と同等にしたいという意図があり、2/3 を付け
たもの。

24

236

SW1 は、
強制開離機構を有するため 99％
となる。

非

売

品

禁無断転載

平

成

２

１

年

度

印刷産業機械の機能安全に関する調査研究報告書

発行

発行者

平成２２年３月

社団法人

日本機械工業連合会〒105-0011
東京都港区芝公園三丁目５番８号
電話

０３－３４３４－５３８４

社団法人

日本印刷産業機械工業会〒105-0011
東京都港区芝公園三丁目 5 番 8 号
電話

０３－３４３４－４６６１