本書は参考和訳です。翻訳に疑義が生じた場合は、原文の内容が優先されます。
原文：http://www.ul.com/asiaonthemark/hk-zh/2010-Issue32/page10.htm

ハザードベース・セーフティー・エンジニアリング（HBSE）
IEC 62368-1 のベースとなる安全設計モデルとは？
2010 年１月 21 日、『IEC 62368-1 第 1.0 版：オー
ディオ/ビデオ、情報及び通信技術機器 — 安全要求事項』がついに発行されました。この規格の影響は、ITE/AV 業界や多くのエリアに広く及ぶことが予想されます。製品の研究・開発や製造に関わっている方々は、この新規格への対応をなるべく早く開始されることをお勧めいたします。それには先ず、この新規格が提唱している新しい安全モデルであるハザードベース・セーフティー・エンジニアリング（HBSE：危険から始まる安全工学）を知ることが重要です。の理解を深めることができれば、製品設計という初期の段階で「成功の法則」を自ら取り込むことができるようになるでしょう。

よりよい製品安全を目指して製造者に必要なのは、危険から始まる安全工学に基づくよりよい製品安全モデルに切り替えることです。製品の研究・開発段階で既に安全であるように設計された製品は、規格、規定、規制、法律などへの適合性が非常に容易になり、また、第三者認証の取得も迅速にできることでしょう。製造物責任を問われた場合でも、その製品の安全性は科学的理論に裏付けされます。

製品安全工学というのは、人間の人体にある様々な要素に基づいており、統計分析を用いて、人体抵抗分析モデルや各臓器によって異なる波長の吸収率などを判定します。これにより、通常に使用されている製品や潜在的な故障状況下にある製品がユーザー並びにその直接的な周囲に与える影響や危険性の科学的評価が可能になります。

HBSE は、安全な製品を設計する技術的プロセスを提供します。HBSE が求めるのは、これまで行われてきた精巧な安全基準をベースにした慣行ではなく、安全設計の背後にある技術的原則の理解です。HＢSE により、研究開発者は製品設計段階で安全の概念を取り入れた設計ができるようになり、後の段階で製品が不適合となり手直しが必要となる回数が減尐します。HBSE は単なる理想論ではありません。何回も実践され、その成功は証明されています。

従来の製品安全消費者にとって製品安全は重要な関心事です。それは機能や見かけ、デザインを超えるかもしれません。しかし製造者は安全だけでなく、コストなど様々な考慮事項を抱えているのが現状です。そのような中、製品の安全性確保を確実なものにする
必須条件として、次の 3 つが挙げられます。
1.
2.

3.

HBSE を知る
HBSE が考案されてから 30 年が過ぎようとしていますが、それは、ヒューレット・パッカード（HP）社のリチャード・ヌート氏の努力のおかげです。研究開発スタッフも製品安全の知識を持つべきだと思いついたのが、そもそもの始まりで、その後、彼は 8時間のトレーニングプログラムを開発。それは、研究開発員に「セーフガード」の重要性を実際に感じて考えてもらうための体感実験などが含まれたものでした。このトレーニングは大きな反響を呼び、HP 社はすぐにこれを研究開発部門と安全技術者の必須研修としました。そしてこれが新たな進展を呼びます。電子消費者製品の寿命は短く、それ故設計にとれる時間も限られています。よって最小限の安全規格への最低限の適合性のみ考慮した設計が行われがちで、その後、その製品は安全規格、規定、規制、法律－これらが必要な製品安全規格をもたらします。
第三者認証－製品が特定の規格や法律に適合しているかを評価します。そして認証書の発行や安全ラベルの表示を通じて、その製品は安全であることを示します。
製造物責任－欠陥製品が何らかの損害を与えた場合に、設計、製造、供給、販売などの責任組織に課せられる法的責任です。

しかしこれらは全て外部からのもので、製造者自身が手掛けるものではありません。よって製造者は製品安全認証の取得を困難と感じる場合もあるでしょう。しかし、安全設計の背後にある技術理論

1

部門や第三者認証機関に送られ、試験を受けることになります。しかしこのやり方は問題を含んでいます。例えば、安全認証の時点で不具合が発覚すれば出荷予定日に間に合わなくなるかもしれません。また、設計段階の初期で安全のコンセプトを取り入れなかった結果、生産段階の後半になって安全認証を得るために製品性能を犠牲にするということも起こりかねません。

体を結ぶ伝達のメカニズムが必ず存在しています。
つまり、危険なエネルギ源と人体が正しく絶縁されていたら、傷害が起こる可能性を減尐させることができます。この考え方が 2 つの「傷害に至らない」モデルを導き出しました。
安全エネルギモデル
エネルギの大きさと継続時間の限界値を、人体に怪我を生じないで耐えられる最高のレベルに設定する。エネルギの大きさとかかる時間が人体の耐えられる度合を超えない限り、被害はありません。例えば、室温と同じ水は、危険なエネルギ源とはなりません。指がその水に触れても、人体に伝達されるエネルギは受容可能なレベルにあります（図 2 を参照）。

エネルギ減衰モデル
大きさ、継続時間の条件において危険なエネルギ源がある場合、そのエネルギを適切に減衰させるものを、その危険なエネルギ源と人体の間に挿入します。こうするとたとえ接触しても、人体が接するエネルギは安全なレベルにあります。この減衰器はエネルギを遮断し、危険なエネルギ源を取り除くことで、傷害の発生を完全に阻止する場合もあります。
例えば、沸騰したお湯は危険なエネルギ源ですが、耐熱グローブをつけると、それが指に触れても、人体に伝達されるエネルギは受容可能なレベルになります（図 3 参照）。

HBSE は製造者が研究・開発を行うにあたっての最も基本的なニーズに応えるものであり、製品安全の基準を、安全規格への単なる適合化以上のレベルに高めます。

HBSE の基本原理「傷害は、ある人体に、十分な大きさのエネルギが十分な時間、加えられた時のみ発生する」というのが HBSE の大前提です。この HBSE の基本原理を示すのに使われているのが、スリーブロック・エネルギ伝達モデル（図１）です。
傷害の種類や、エネルギを人体から外へ移す（例：凍傷）、または、人体に移す（例：火傷）などの伝達の方向がどうであれ、製品が危害を及ぼすのは、エネルギの伝達時だけです。危険なエネルギの伝達が起こる時には、危険なエネルギ源と人

危険なエネルギ源

伝達メカニズム

人体許容度

図 1：HBSE の基本原理：スリーブロック・エネルギ伝達モデル

危険のないエネルギ源

伝達メカニズム

人体許容度

室温の水接触指図 2：HBSE の「傷害に至らない」モデル：安全エネルギモデル

危険なエネルギ源
沸騰した湯減衰器
耐熱性グローブ

人体許容度
指図 3：HBSE の「傷害に至らない」モデル：エネルギ減衰モデル2

ここに見られるように、HBSE のエネルギ伝達モデ
ルの基本要素となっているのが、人体許容度です。
この人体許容度のレベルさえ決定されれば、設計者はこの２つの「傷害に至らない」モデルを採用して、危険性を最小限にすることができます。つまり、どのような新技術でも、このエネルギ源の基本的な枞組みの中で捉えることができ、定量化することでそれが危険なのか否かも判断できるということです。

フォルトツリー解析
HBSE が採用するもう一つの強力なツールに、フォルトツリー解析（FTA）があります。これは、電気、化学、原子力、航空業界で広く用いられている危険要因分析手法です。図 5 は、指の骨折事故のＦTA です。

エネルギ源の特定

言い換えれば、HBSE は技術に依存しない工学的プロセスであり、HBSE に基づいて作成された安全規格は、より安定していると言えます。技術の進化や技術革新に応じて安全規格を頻繁に改訂する必要は最小限となるので、これは産業界にとって大きなメリットになるでしょう。

そのエネルギ源はHBSE のプロセス危険ですか？

この製品になぜ固有のエネルギ形態があるのか？ この製品が最初に設計された時のエネルギの形態、大きさは？

使用する時、エネルギは伝達され、製品の中に違う形で蓄積されるのか？ 例えば、通常動作の場合、潜在的エネルギが生成されるのか？ この潜在的エネルギの形態は？

Yes

図 4 のフローチャートは、エネルギ保存の法則と前述の HBSE の基本原理に基づくプロセスを段階別に表したものです。このチャートにおける最初のステップは、「エネルギ源の特定」です。一般的なエネルギ源には、経験から特定できるものもあるでしょう。

人体へのエネルギ伝達手段を特定する

人体へのエネルギ伝達を防ぐセーフガードを設計する

従って、最初の判断ポイントは、このエネルギの大きさが果たして傷害をもたらすか否かを試験、評価することです。セーフガードを設計する前に、先ず、この伝達メカニズムを理解しなければなりません。この伝達メカニズムを明らかにできたら、セーフガードの設計に必要な事項も決めることができます。

セーフガードの有効性を検証する

No

最後のステップは、このセーフガードは計画どおり有効であるか否かを実証することです。この段階で、初期の設計段階で立てた最初の仮定に間違いが発覚するかもしれません。例えば、エネルギが見積もった伝達メカニズムどおりに伝達されない、セーフガードによるエネルギ減衰が設計した通りに行われないなどです。このような場合、最初の仮定に戻って、再度このプロセスをたどる必要があります。

そのセーフガードは有効ですか？

Yesｓ

完成

図 4：HBSE のフローチャート
3No

指の骨折

エネルギの伝達

大きな運動エネルギ

ドアの枞にを有するドア

高速で閉まるドア

置かれた手

重たいドア

ドアクローザーが不十分又はない

Hazardous energy
source
手で勢いよ
く閉まるドア

重力で勢いよく閉まる

ドアクロー
ザーに故障

ドア

ドアクロー
ザーがない

図５：指の骨折事故のフォルトツリー解析

FTA は、ブール論理（Boolean Logic）を用いて、個別の故障がどのように傷害をもたらすかを示します。一番上から、枝分かれをした次の段階に降りていく形で分析を進めます。各ハザード（危険）の因果関係が明確となり、また、各事故にブール代数を当てはめることで、発生確率が定量化されます。こうすることで予防手段や隔離手段を初期の段階でアレンジし、危険の発生を効果的に抑えこみます。

この FTA と同様に、HBSE の基本原理も製品安全工学に実際に適用できます。ブール代数を用いて危険を定量化することにより、予防処置をとる、重要事象を取り除く設計を導入するなどで、傷害の発生を最小限に抑えることができます。

この FTA を、HBSE のスリーブロック・エネルギ伝達モデルに取り入れると、これらが同じコンセプトに基づいていることは明らかです。「１」という数字が「傷害」を表し、「０」が「傷害なし」を表すとします。
危険エネルギと人体への曝露の事象が両方とも同じ「１」で「AND ゲート」に入った場合のみ、傷害が発生します（つまり、最上部の事象ボックスが「傷害１」となります）。「傷害に至らない」モデル（エネルギ減衰モデル）も説明してみましょう（図 3参照 ）。人体への曝露の数値が「0」であれば（即ち、人体は危険エネルギに晒されていない、または、エネルギは減衰されている）、どのような危険なエネルギ源があろうとも、「AND ゲート」から出る数値は「0」となり、傷害が発生することはありません（図 6 参照）。

傷害

Flore Chiang, Engineering Department, UL Taiwan

エネルギの伝達危険なエネルギ

危険なエネルギ源

人体への曝露伝達メカニズム

人体許容度

図 6：フォルトツリー解析を用いたスリーブロック・エネルギ伝達モデル4