新たなセンサシステム規格の開発状況（IEC 62998）
2017年3月9日
国⽴研究開発法⼈ 産業技術総合研究所
ロボットイノベーション研究センター

角 保志

IEC 62998 とはSAFETY OF MACHINERY －Safety-related sensors used for protection of person• 安全センサのための新しいジェネリックな規格– ⼈や危険物体を検出し、機械を安全な状態にすることで、⼈を保護– 公共の場所での使用も視野• IEC/TC44/WG14で、技術仕様書（TS）として開発中

2017.3.9

2

本日の内容• IEC 62998 の概要• 安全関連センサ（SRS）と安全関連センサシステム（SRSS）• SRS/SRSS の設計・開発• SRS/SRSS のユーザインタフェース• SRS/SRSS のインテグレーションと実装• SRS/SRSS の運転、メンテナンス、改修
検証と妥当性確認
使用上の情報2017.3.9

3IEC CD 62998

IEC 62998 の概要

4IEC 62998の開発状況
ドイツから提案 (NP)2015/10 作業原案 (WD)2014/12

TC44/WG14 第1回会議 (Düsseldorf)

2016/1

TC44/WG14 第2回会議 (London)/4

TC44/WG14 第3回会議 (Milano)/9

TC44/WG14 第4回会議 (京都)/12

TC44/WG14 第5回会議 (Waldkirch)

2017/1

委員会原案（CD）/5

TC44/WG14 第6回会議 (Sankt Augustin)/6

TC44/WG14 第7回会議 (Helsinki)/6
2018/1

照会原案（CDV）

TC44/WG14 第8回会議 (場所未定)

最終案/10 技術仕様書（TS）として発⾏/4

2017.3.9

新業務項目提案（NP）の受理作業原案（WD）の作成

委員会原案（CD）の開発及び受理照会原案（CDV）の開発及び受理

最終国際規格案（FDIS）の承認

国際規格（IS）の発⾏
国際規格開発の手順 （通常の場合）5

IEC CD 62998 のスコープ• 安全関連センサ（SRS）およびセンサシステム（SRSS）の、開発とインテグレーションに関する要求事項を規定• 既存のセンサ規格では対応しきれない（もしくは、該当するセンサ規格が無い）場合に適用• SRS/SRSSパフォーマンスクラスを定義– PL, SILcl, SIL等に対応• 屋内・屋外の環境– 公共の場所での⼈の保護。例︓ 農業、駅
既存センサ規格の例• IEC 61496シリーズ（安全ライトカーテン等）• IEC 60947-5-2（近接スイッチ）2017.3.9

6

IEC 61496シリーズ とは• 電気的検知保護設備の技術的な要求事項を規定• 屋内（工場）での使用を想定
電気的検知保護装置（ESPE, Electro-Sensitive Protective Equipment）︓
機械の危険な部分の周辺に設定した進入禁止区域に⼈が進入したら、これを検出して機械に停止信号を生成する保護装置

2017.3.9

IEC 61496-1• 一般IEC 61496-2• 安全ライトカーテンIEC 61496-3• 安全レーザースキャナ

IEC/TS 61496-4-2• カメラ＋背景パターン

IEC/TS 61496-4-3• ステレオビジョン

7

IEC 61496の要求事項の例
IEC 61496-3（レーザースキャナ）の検出区域

出展: IEC 61496-3:20082017.3.9

IEC/TS 61496-4-3（ステレオビジョン）の光干渉試験設定

出展: IEC/TS 61496-4-3:20158

IEC CD 62998 のイントロダクション• 読者: SRS/SRSSのサプライヤ– SRS/SRSSの製造者– SRSSのインテグレータ• 技術︓– 新しいセンサ技術（レーダー、超音波）– 新しいセンサ機能（物体認識、物体位置計測）– センサの組み合わせ（フュージョン）• 内容︓– 既存の機能安全規格とセンサ規格のギャップの解消– SRS/SRSS の決定論的能⼒ (systematic capability)

2017.3.99安全関連センサと Systematic Capability
故障
failure
偶発故障random failure

決定論的原因故障
systematic failure

危険側故障確率
PFD, PFH

決定論的能力systematic capability

ハードウェア的な故障

ソフトウェアの不具合
62998 !

センサ固有の問題（環境の影響等）

2017.3.9

10

IEC CD 62998の引用規格• IEC 60068 (all parts), Environmental testing• IEC 60721 (all parts), Classification ofenvironmental conditions• IEC 61508 (all parts), Functional safety ofelectrical/electronic/programmable electronic
safety-related systems• IEC 62061, Safety of machinery – Functionalsafety of safety-related electrical, electronic andprogrammable electronic control systems• ISO 13849 (all parts), Safety of machinery –Safety-related parts of control systems• ISO/IEC 17025, Conformity assessment - General
requirements for the competence of testing andcalibration laboratories

2017.3.9

環境機能安全試験所

11

IEC CD 62998の構成
FOREWORD..............................................................................
INTRODUCTION ......................................................................
1 Scope ....................................................................................
2 Normative references ............................................................
3 Terms and definitions ..............................................................
4 Lifecycle and interconnection to SRECS .................................
4.1 General ............................................................................
4.2 Hazard and risk analysis ................................................
4.2.1 Hazard caused by SRS/SRSS ................................
4.2.2 Required SRS/SRSS performance class ..................
4.3 Correspondence SRS/SRSS performance class ...............
5 Design and development phase ..............................................
5.1 General ............................................................................
5.2 SRS/SRSS function analysis .........................................
5.3 Design analysis ................................................................
5.4 Simulation .....................................................................
5.5 Sensing zone(s) .............................................................
5.6 Safety related zone .........................................................
5.7 Automation related zone .................................................
5.8 Detection capability and dependability .............................
5.8.1 General ...................................................................
5.8.2 Object classes and physical properties .....................
5.8.3 Environmental influences ......................................
5.9 User interface ................................................................
5.9.1 General ..................................................................
5.9.2 Mounting ................................................................
5.9.3 Safety related information ........................................
6 Integration and installation phase .........................................
6.1 General .............................................................................
6.2 Fusion of SRS into an SRSS .............................................
6.2.1 General .....................................................................
6.2.2 Limits of use after fusion .........................................
6.2.3 Detection capability after fusion ...............................
6.2.4 Sensing zone(s) after fusion ...................................
6.2.5 Dependability under environmental condition after fusion
6.2.6 Safety related information after fusion .............
6.2.7 SRSS performance class after fusion......................
6.2.8 Response Time after fusion ..................................
6.2.9 Verification and validation after fusion ......................
6.3 Calibration at user side .........................
6.3.1 General ....................................................................
6.3.2 Calibration procedure and equipment ......................
6.3.3 Verification and validation of calibration .....................
7 Operation, maintenance and modification phases ................

2017.3.93567720202122232324242425
25252525
26262627303031313333343434353535363637373737383838

8 Verification and validation .......................................................
398.1 General ............................................................................
398.2 Verification of an SRS/SRSS ...........................................
398.3 Validation of an SRS/SRSS ............................................
408.4 Analysis ............................................................................
418.5 Test ..................................................................................
428.5.1 General ....................................................................
428.5.2 Test classification ......................................................
428.5.3 Test method and test setup ......................................
43
8.5.4 Test plan and Test results .........................................
44
9 Information for use ...................................................................
44
Annex A (informative) Examination of systematic capabilities ......
47
Annex B (informative) User groups ............................................
48
B.1 User groups of SRS/SRSS and groups addressed by IEC 62998 content 48
B.2 User groups addressed by so called fusion ....................
48
Annex C (informative) Functional decomposition and/or integration
51
C.1 General ..............................................................
51
Annex D (normative) Generation and application of Simulation models
52
D.1 General ............................................................................
52
D.2 Recommendations for use ...............................................
52
D.3 Simulation objectives and measures to achieve them .......
52
D.4 Verification ......................................................................
54
Annex E (informative) Child properties and behaviour ................
56
E.1 General ............................................................................
56
E.2 Sizes of parts of body .......................................................
56
Annex F (informative) Environmental influences ........................
59
F.1 1st Example for application of environmental influences ....
59
F.2 1st Example for application of environmental influences .....
60
Annex G (informative) Faults, failures and influences resulting in a loss ofSRS/SRSS safety related function .........................................................
62
G.1 General .............................................................................
62
G.2 Failure to danger ...............................................................
64
G.3 Normal operation ...............................................................
65
G.4 Fault reaction function and confidence information as part of safety related
information ................................................................................
65
Annex H (informative) Test Aspects ............................................
67
H.1 General .............................................................................
67
ライフサイクル
H.2 Mechanical influence test ..................................................
67
Annex I (informative) Examples of safety related information and fusion ....... 70
I.1 General ................................................................................
70
I.2 Example of safety related information ................................
70
I.3 Example of fusion ............................................................
71
Bibliography ...............................................................................
7412

IEC CD 62998

安全関連センサ（SRS）と安全関連センサシステム（SRSS）
13

安全関連センサのアーキテクチャ
SRS: Safety Related Sensor

物体の物理的特性

SRSアーキテクチャ例1

安全関連情報環境の影響

SRSアーキテクチャ例2
2017.3.9

出展: IEC CD 62998-721, Fig.4,514

安全関連センサシステムのアーキテクチャ
SRSS: Safety Related Sensor System

物体の物理的特性

安全関連情報フュージョン

安全関連情報出展: IEC CD 62998-721, Fig. 6

環境の影響2017.3.9

SRSSアーキテクチャ例
15

SRS/SRSSパフォーマンスクラス• リスク分析で特定• 安全性能レベル（PL, SILcl, SIL等）に対応– IEC 61496の「Type」とはリンクしない• サプライヤが「使用上の情報」に記載

記載例︓Sensor Subsystem SIL 2 in accordance to IEC 62061. SRS performanceclass D in accordance to IEC 62998 used for examination of systematic capabilities.

表1: 安全性能レベルとSRS/SRSSパフォーマンスクラスの対応
SRS/SRSS
パフォーマンスクラス

AB

C

DE

ISO 13849

PLa

PLb

PLc

PLd

PLe

IEC 62061

SILcl 1

SILcl 2

SILcl 3

IEC 61508

SIL1

SIL2

SIL3

F

SIL4

……

2017.3.9

16

IEC/TS 62998の位置づけ
リスクアセスメント

ISO 12100

安全関連システムSRECS

ISO13849 PL
安全関連電気制御システムSRECS

IEC
62061 SILcl
安全関連電気制御システムSRECS

C規格（個別機械安全規格）

例︓ ISO 13482

安全関連電気制御システムSRECS

安全関連電気制御システムSRECS
IEC61508 SIL

安全関連センサ SRS/SRSS

IEC/TS 62998

SRS/SRSSパフォーマンスクラス

2017.3.9

17

IEC CD 62998

SRS/SRSSの設計・開発

18

SRS/SRSS設計・開発の要求事項
最低限以下をカバーして設計・開発• 意図した使用を決定• SRS/SRSS機能を定義• 安全要求の文書化• ハード・ソフトの安全関連設計• 設計分析・シミュレーション– 検出区域– 検出能⼒（detection capability）とディペンダビリティ (dependability)

2017.3.9

19

「SRS/SRSS機能」の要求事項
サプライヤが定義• 何を検出するのか– 対象となる「物体」と、その物理特性• どこで使用するのか– アプリケーションの環境条件と使用上の制限• 何を出⼒するのか– 適切な出⼒信号• 機能の分類– 安全関連機能– 危険物体（検出）機能– ⼈検出機能– オートメーション関連機能

2017.3.9

20

SRS/SRSSの検出能⼒の要求事項
以下を考慮して分析＆試験• 物体のクラスと物理特性– 安全関連物体︓⼈• 子ども含む– 安全関連物体︓潜在的な危険物体– オートメーション物体• 検知漏れが危険側故障にならない物体• 使用上の制限• SRS/SRSSパフォーマンスクラス• 環境の影響2017.3.921

「環境の影響」についての要求事項
サプライヤが規定• 環境条件とその範囲（制限）を規定– 危険側故障の条件– 正常運転の条件• 既存の環境条件に関する規格を参照– 例︓ISO 15003（農業）、EN 50125-1（鉄道）、IEC 60721-3-5（環境条
件分類︓⾞載）• 考慮する環境条件︓
a. 屋内か屋外か
b. 静止か移動か
c. 温度、湿度
d. 降⽔（⾬、あられ・雹、雪）と風e. 圧⼒（⼤気圧、⽔圧など）
f. 太陽放射と温度放射
g. 結露と着氷
2017.3.9

h. 霧、塵、砂、煙霧
i. 震動と衝撃
j. 動物相と植物相（カビなど）
k. 化学的影響
これらに限定せず
l. 電気電磁気的影響
m.機械的負荷n. 音22

環境の影響の適用例（附属書F.2）
SRS/SRSSのアプリケーション• 静止カメラ• 工場の入口をモニタ• 屋外、保護あり
分析

環境の影響• 温度と湿度•霧• 結露と着氷• 太陽放射（間接）• ほこりと砂• 振動と衝撃• 電気電磁的影響関連規格• IEC 60721-3-0（環境条件︓通則）• IEC 60721-3-3（環境条件︓屋内固定）

2017.3.9

適用結果（表.F2 環境の影響と分類の例）
環境の影響

IEC 60721-33によるクラス

制限

温度

3K6

-25~+55℃

温度変化率

3K6

0.5 K/min

相対湿度

3K6

100%

結露

3K6Possible

太陽放射

700 W/m2

振動3M1

振幅0.3 mm
加速度1mm/s2

衝撃3M1

40 m/s2

IEC 60721-3-3
3K6︓ ビルの入口、ガレージ、家畜小屋、丸太小屋、屋根裏、電話ボックス、工場及び製造プラント用の建屋、無⼈装置の設置場所、電気通信用の無⼈の建屋、耐凍結性の製品を対象とした通常の倉庫、農場の建屋など
3M1︓ 振動および衝撃の少ない場所

23

環境の影響による危険側故障
サプライヤが分析（表3の上限を超えないこと）• 環境の影響と検出能⼒の関係を分析– シミュレーション– 試験• 検出能⼒を喪失させる環境条件の限界を決定

2017.3.9

表3︓環境の影響による検出能⼒の喪失の上限（⾼頻度作動要求モード）

SRS/SRSS
パフォーマンスクラス

1年あたり危険側故障
最⼤累積時間

A

1h

B

5 min

C1 min

D

5 sec

E

0.5 secF

反応時間

数値はCD時点

24

IEC CD 62998

SRS/SRSSのユーザインタフェース
25

SRS/SRSSのユーザインタフェースの要求事項
サプライヤが規定• 取り付け方 mounting• 出⼒（安全関連情報）• ライフサイクルを通じてのリスク低減方策– 例︓メンテナンス試験

2017.3.9

26

SRS/SRSSの安全関連情報の要求事項
サプライヤが定義• 計測情報– 計測値• 判定情報– 存在判定

• 信頼性情報– 計測の不確かさ– 判定の不確かさ

出展: IEC CD 62998-721, Fig. 8

2017.3.927

信頼性情報について• 安全関連情報の「不確かさ」を表現–包含確率 coverage probability–包含区間 coverage interval

出展: IEC CD 62998-721, Fig. 3
参考文献• 「計測における不確かさの表現のガイド」 (Guide to the Expression of Uncertainty in Measurement; GUM)
• 「不確かさの入門ガイド」, NITE, http://www.nite.go.jp/data/000050641.pdf• 「不確かさ評価入門」, AIST, https://unit.aist.go.jp/mcml/rg-mi/uncertainty/docs2/IntroductionToUncertainty.pdf

2017.3.928

SRS/SRSSの信頼性情報
信頼性情報の最小値（SRS/SRSSパフォーマンスクラス別）

出展: IEC CD 62998-721
2017.3.929

IEC CD 62998

SRS/SRSSのインテグレーションと実装
30

SRS/SRSSのインテグレーションと実装の要求事項
製造者が定義、サプライヤが情報提供• SRS/SRSSの、SRECSへのインテグ
レーション• 複数SRSをインテグレーションしてSRSSを構築 ＝ フュージョン• SRS/SRSSの実装• SRS/SRSSのキャリブレーション（それぞれ、該当する場合）

2017.3.931

フュージョンの例（附属書I）

出展: IEC CD 62998-721
2017.3.932

フュージョンに関する要求事項
SRSSインテグレータが規定• SRSSの意図した利用の決定• SRS機能を考慮したSRSS機能の定義• 安全要求の文書化• 安全関連ハード・ソフトの設計要求– SRSSのパフォーマンスクラスが、もとのSRSのパフォーマンスクラスより向上している場合• SRSSの使用上の制限の定義– もとのSRSが、使用上の制限内で使われていることを確認– SRSSの使用上の制限が、もとのSRSより向上していることを確認– ユーザへの情報提供

2017.3.933

フュージョン後の使用上の制限に関する要求事項
SRSSインテグレータが定義• 検出能⼒• 検出区域• 環境の影響• 出⼒（安全関連情報）• SRS/SRSSパフォーマンスクラス• 反応時間2017.3.934

フュージョン後の最⼤SRSSパフォーマンスクラス
SRS 1 パフォーマンス
SRS 2クラス
パフォーマンスクラス

表5
A

B

C

D

E

F

A

B

B

C

D

E

F

B

B

C

C

D

E

F

C

C

C

D

D

E

F

C

D

D

D

E

E

F

E

E

E

E

E

F

F

F

F

F

F

F

F

F

• 3個以上のフュージョンも可能• 表5によるフュージョンは1回のみ• フュージョン後のクラスは要検証

2017.3.935

IEC CD 62998

SRS/SRSSの・運転、メンテナンス、改修
・検証と妥当性確認
・使用上の情報36

SRS/SRSSの運転、メンテナンス、改修の要求事項
製造者が定義、サプライヤが情報提供• 運転（operation）• メンテナンス（maintenance）• 改修（modification）
を通じて、安全関連機能を実現

2017.3.9

37

SRS/SRSSの検証と妥当性確認
製造者が定義、サプライヤが情報提供• SRS/SRSSの決定論的能⼒を保証• 検証と妥当性確認（分析、試験）2017.3.9

38

SRS/SRSSの使用上の情報実装、使用、メンテのための適切な情報を提供
提供すべき使用上の情報の概要（数字はIEC CD 62998の節番号）
4.2
5.2
5.6
5.7
5.8.2.1
5.8.2.1
5.8.2.4
5.8.2.1
5.8.2.3
5.8.2.1
5.8.2.4
5.8.2.1
5.8.2.5
5.8.2.6

5.8.2.7
5.8.3.1
5.8.3.2
5.8.3.2
5.8.3.3

5.8.3.3
5.9.2
5.9.2
5.9.2
5.9.2

The supplier shall state the Level of safety performance (Pl, SIL or SIL CL)
and the referenced standard in customer documentation.
The SRSS function shall be defined by the supplier in accordance to generaldescription of Table 3.
Specification of safety related zones.
Specification of automation zones if applicable.
The supplier shall define limits of the physical properties within which theSRS/SRSS function is performed.
The supplier shall specify the physical properties used for person detection
and the limits within which the person detection function is performed.
The supplier shall specify the property of length, area and volume used for
person detection and the limits within which the person detection function isperformed.
The supplier shall specify the property of reflection used for person detection
and the limits within which the person detection function is performed.
The supplier shall specify the property of velocity assumed for person
detection and the limits within which the person detection function isperformed.
The supplier shall specify the physical properties used for hazardous object
detection and limits of the physical properties within which the hazardous
object function is performed.
The supplier shall specify objects used to perform automation functions.
The supplier shall specify the environmental influences relevant for thedependability of the detection capability of the SRSS.
The supplier shall specify for all relevant environmental influences the limits
for failure to danger condition.
The supplier shall specify for all relevant environmental influences the limits
for normal operation condition.
The supplier shall provide relevant information to the user on the results ofanalysis of the influence of relevant environmental conditions on the loss ofdetection capability and consequences if the limits are not achieved in theapplication.
The supplier shall provide additional information for use if one of theadditional approaches of Annex G are used.
The supplier shall provide information on restriction in mounting position of asensing unit/SRS/SRSS.
The supplier shall provide information location of detection zone(s) relative tomounting surfaces or reference point at the sensing units/SRS/SRSS.
The supplier shall provide information on location and limitations in mountingof sensing unit/SRS/SRSS.
The supplier shall provide information on the detection capability in anSRS/SRSS as a result of mounting.

5.9.2
5.9.2
5.9.3.1
5.9.3.1

5.9.3.2
5.9.3.2
5.9.3.2
5.9.3.3
6.1
6.2.1
6.2.2
6.2.2

6.2.3
6.2.4
6.2.5
6.2.5
6.2.6

6.2.7
6.2.8
6.3.1
6.3.2
6.3.3
7
8.5.1

2017.3.9

The supplier shall provide information on the location and geometry ofSRS/SRSS detection zone(s).
The supplier shall provide information on measures to prevent or monitorchanges in mounting resulting in failure to danger.
The supplier of the SRS/SRSS shall define the safety related information
provided by the output unit.
The fault reaction function and the fault response time of the fault reaction
function shall be specified and provided within the information for use for
SRS/SRSS performance class C to F.
The supplier shall specify the measurement information if applicable.
The supplier shall specify the decision information if applicable.
The supplier shall specify confidence information for the safety relatedinformation.
The supplier shall specify the response time.
The supplier shall give information for integration and installation within theinformation for use.
The SRSS Integrator shall provide information for use of the SRSS and eachfused SRS.
The SRSS Integrator shall define the limits of use of the SRSS.
The SRSS integrator shall define and document if the fusion of two or more
SRS into an SRSS results in an improvement, in a reduction or in equalcharacteristic as defined for each SRS by the manufacturer.
The SRSS integrator shall specify the SRSS detection capability resulting
after fusion.
The SRSS integrator shall specify the sensing zone(s) resulting after fusion.
The SRSS integrator shall specify environmental conditions in type and limits
resulting after fusion for no failure to danger.
The SRSS integrator shall specify environmental conditions in type and limits
resulting after fusion for normal operation condition.
The SRSS integrator shall specify logic functions performed in a processing
unit on SRSS level and shall specify the safety related information provided
by the SRSS.
The SRSS integrator shall specify the sensor performance resulting afterfusion.
The SRSS integrator shall specify the response time resulting after fusion.
The supplier of an SRS/SRSS shall define whether a calibration procedure isor is not required in the application to achieve the stated detection capability.
The supplier shall describe the procedure of calibration by the user.
The supplier shall provide information on how the results of calibration
procedure shall be documented at user side.
The supplier of an SRS/SRSS shall give appropriate information for
operation, maintenance and installation.
The supplier shall describe test and test set up for verification respective
validation to be performed at user side within information of use.

39まとめ• IEC 62998は、–多方面に影響する可能性．
–引き続き動向を注視していく必要あり.

• 今後の予定
2017/62018/4/10
2017.3.9

照会原案（CDV）
最終案（FDIS）
技術仕様書（TS）
40

ご注意
本資料は、
• IEC CD 62998（2017年1月）をもとに作成しました。
• 2018年発⾏予定の IEC TS 62998 とは、内容が一致しない可能性があります。

2017.3.9

41

ご静聴ありがとうございました© 2017 AIST2017.3.942