可変速ドライブによる機械安全確保：主要機能とベスト・プラクティス

電子機器における安全機能の一般原則

このブログは、可変速ドライブを機械安全機能に使用するための導入です。インバータ・ドライブには精通しているが、安全関連制御システムにはそれほど詳しくない人を助けることを意図しています。原則を理解し、安全関連システムについて利用可能な大量の詳細資料にアクセスできるようになるはずです。

電気、電子、またはプログラマブル機器が人命に影響する機能を実行する場合に「機能安全」という用語が適用されます。これは鉄道信号や、事故時に多数の人がリスクにさらされる大規模プラントの監視制御など、多様なアプリケーションを含む巨大なトピックです。しかし、ドライブ・アプリケーションでは最も一般的に、制御システムを用いて、機械の運転によって人が怪我のリスクにさらされる状況を防ぐ何らかの機械を指します。シンプルな例は安全バリアで、機械の一部にアクセスするために頻繁に開く必要がありますが、開いているときは機械を動作不能にしなければなりません。センサーとアクチュエーターのシステムで、バリアの状態を検知し機械を制御できます。

PLCやデジタルVSDのようなインテリジェントなプログラマブル機器が利用可能になることで、安全システムはこの例よりも柔軟かつインテリジェントになり、安全を維持しながら柔軟な運用が可能になります。例えば、特別な安全キーを資格者が操作する条件付きで、バリアが開いているときに低速運転を継続させたり、その人の顔認証やその他の予防措置を条件にしたりできます。

故障モード

安全機能の重要な要素は、関数の信頼性が、単純な電気、電子、またはプログラマブル機器で達成できるものより相当高くなければならないことです。従来の電気/電子回路の品質がどれほど良くても、必要な安全機能を実行しないが、故障が明らかにならないコンポーネント故障が発生し得ます。安全機能用ハードウェアは、自己テストまたは「フェイルセーフ」機能を内蔵して設計する必要があります。製品開発中、ハードウェア故障の影響を故障モード・影響解析（FMEA）で分析し、危険な故障モードを設計で極めて低いレベルに低減しなければなりません。完全性レベルSIL3の典型的な目標PFH_D（危険方向への故障確率）は時間あたり10⁻⁸、つまり10,000年に1回未満の故障率です。このような低い故障率は、電子制御システムに常に特別な構造を必要とします。ここで言及しているのは、機器の意図された作業寿命中に発生するランダム故障であり、寿命予測ではありません。意図されたシステム寿命内に既知の摩耗メカニズムを持つ部品は、計画メンテナンスで管理できます。

制御構造

ドライブを伴うほとんどのアプリケーションでは、固定機械の安全性が扱われ、最も一般的なオプションは、安全機能に2つの独立したチャネルを使用し、相互チェックを配置して、不一致があればドライブを停止、すなわち駆動トルクを停止させます。ほとんどの機械では、これが安全状態になります。ホイストのように、ドライブ・トルクがなくても重力で動く可能性のある機械では、ドライブ・トルクが消失したときに危険を引き起こさない対策が必要です。

図1は、基本的な二チャネル安全システムを示し、「2中1」または1oo2システムとも呼ばれ、2つのチャネルのいずれかが停止を要求すれば機械が停止します。これは機械安全制御システムで最も一般的な配置です。いずれかのセンサーまたは信号調整プロセッサーの故障は、安全機能の喪失につながりません。図1は機能図に過ぎず、出力側の「ANDゲート」は単純なロジック・チップではありません。それが単一障害点になるからです。ドライブの二チャネルSTO入力や、単一デバイスの共通原因故障を排除する他の方法である可能性があります。

灰色で示された診断機能は通常、継続的な安全確保のために必要です。これがないと、一方のチャネルに故障があっても安全機能は失われませんが、機械が一方のチャネルが不安全な状態で無期限に運転し続ける可能性があります。二番目の故障があれば危険な状態になります。

ソフトウェア/ファームウェア

ファームウェアとソフトウェアを実行する組み込みプロセッサーの使用は、機能安全に新たな次元をもたらします。ソフトウェアにはランダム故障はありませんが、その複雑さにより、すべての条件とイベント・シーケンスで意図通りに動作することを保証するのは困難です。これは「ブラック・ボックス」としての完全システム・テストでは証明できません。ソフトウェアは、コーディング・エラーを避ける措置を講じた明確に定義された言語で書かれ、各ステップで仕様化・テスト可能なモジュールに慎重に構造化されなければなりません。また、プロセッサー・システム内の他のアクティビティによってモジュールが悪影響を受けないことも証明する必要があります。これは、同じプロセッサーで非安全コードが実行されている場合困難です。

明確で曖昧さのない仕様、テスト・プランの作成、プロセスの徹底的な文書化という必要な規律は、コードの記述と完全システムの設計の両方に適用されます。

ソフトウェア品質の重要な管理の一つは、「制限付き可変性言語」（LVL）と「完全可変性言語」（FVL）を区別することです。LVLは、よく定義された機能を持つ事前承認済みモジュールを制限付き方法で構成することに限定され、結果はシンプルな逐次テスト・プログラムでテスト可能です。LVLは、C++などのFVLを用いて完全な厳格な設計プロセスを経て作成され、その後LVLプログラマーのアクセスを超えてロック・オフされます。

ソフトウェアが容易に変更できることは、バージョン管理の安全なシステム（不正変更防止を含む）がなければならないことを意味します。

ドライブ・アプリケーション

シンプルなシーケンスと入力の組み合わせで出力を制御する多くの安全機能は、ハードウェア故障とソフトウェア・エラーからの危険を防ぐ特別機能を持つPLC（すなわち「安全PLC」）で実装できます。しかし、ドライブが特にコスト・エフェクティブに実装できる位置にあるアプリケーションがあります：

• ドライブ防止 - インバータ・ドライブには、安全チェーンの最終リンク、すなわち必要時にモーターでトルクが発生しないように非常に高い完全性で防ぐことに適したユニークな機能があります。これはSafe Torque Off（STO）と定義されます。
• トルク、加速度、速度、方向、位置の絶対値または相対値（位置増分など）による動作範囲の制限。ドライブはこれらの変数を制御し、多くの場合、シャフト/位置エンコーダーや、モーター電圧/電流の挙動観察により、それらの正確で高速応答の測定値を持っています。これらのドライブ関連機能を、ゲート・スイッチやキー・スイッチなどの機械センサーからの入力に対するシンプルな組み合わせ/順序ロジックと組み合わせれば、大規模な安全アプリケーション・クラスを実装できます。

機械制御システムの安全関連部分の規格

安全システム設計の厳格な管理と実装の必要性により、関連国際規格は複雑で密度が高いです。ここでは、機械安全に最も関連する規格のいくつかの主要機能だけを見ます。

国際規格はISOまたはIECで始まります。欧州CENELEC規格はENで始まります。ここではEN版を見ます。国際版は異なるプレフィックスで同じ番号を使います。EN版はEC機械指令の調和規格の地位を持ちます。

EN ISO 12100は、機械リスク・アセスメントの実施方法を記述し、必要に応じて安全機能を制御システムに割り当てる結果をもたらします。これは安全関連制御の正しい設計への不可欠な前段階であり、機械設計者の責任です。

EN 61800-5-2は、電力ドライブ・システムの機能安全規格です。ドライブに特に適した多数の機能を定義し、「指定安全サブ機能」と呼びます。Safe Torque Off（STO）、Safely-limited speed（SLS）などです。完全な安全機能の安全完全性はSILで測定され、1（最低）から3の値を取ります。ドライブは完全な安全関連制御システムのサブシステムであるため、これはその「SIL能力」と呼ばれます。

EN 62061は、機械の電気/電子/プログラマブル制御システムの規格で、EN 61800-5-2と同じSIL指標を使用します。

EN ISO 13849-1は、非電気システムを含む機械制御システムの規格です。異なる指標、パフォーマンス・レベル（PL）とカテゴリ（Bから4）を使用します。補足規格EN ISO 13849-2は「妥当性確認」を扱い、どの故障を考慮し、どれを除外できるか（故障除外）のガイダンスを含みます。

電気/電子/プログラマブル安全関連システムの標準化の基盤の多くは、EN 61508シリーズ（パート1〜7）です。これらは機械制御システムだけでなくすべてのシステムを扱うため、それ自体は調和規格ではありません。

安全完全性レベル

与えられた安全機能に要求されるSILまたはPLは、その機能が軽減しなければならないリスクの度合い、すなわち起こりうる怪我の確率と重大度に関連します。これを決めるプロセスは、EN ISO 12100に記述される機械のリスク・アセスメントから始まります。要求されるSILまたはPLを導出するルールは、EN 62061とEN ISO 13849-1に与えられます。

インバータ・ドライブにおけるSafe Torque Off（STO）

ドライブが提供できる最も基本的な安全機能はSTOです。誘導モーターを制御するインバータ・ドライブは、この機能に特に適しています。インバータ電力段は、ほとんどのパワー半導体に対して複雑でよく制御されたPWMスイッチング・パターンを継続的にアクティブにする必要があるため、モーターにトルクを生成させるためです。この制御パターンがない限り、インバータへの電源がDCであるため、インバータ電力回路のどの故障もトルクを生成する方向には傾きません。最悪の故障ケースは、2つのインバータ・レグの対極にある2つのトランジスタが意図せず導通するケースで、図2の赤矢印で示されています。この場合、1つのモーター相に制御不能な大電流が流れ、過電流保護スキームが動作するか、インバータが破壊されるまで（入力ヒューズ/ブレーカーが遮断）続きます。これらのいずれも回転磁場を生成しないため、トルクは発生しません。

永久磁石モーターまたはリラクタンス・モーターの場合、この最悪ケース故障は、保護装置が動作するまで一時的なアラインメント・トルクを生じます。極限では、PMモーターで1極ピッチ、リラクタンス・モーターで半極ピッチ回転する可能性があります。

インバータ電力段とドライブSTO制御入力のインターフェースは、非常に低い確率で不安全な故障、すなわち複雑なPWM制御パターンが意図せずインバータ・トランジスタに通過することを維持するように設計されなければなりません。典型的には、インバータ自体と同様に、あらゆる種類のコンポーネント故障が「イネーブル」コマンドの喪失につながる何らかの「フェイル・セーフ」技法が使用されます。二つの独立チャネルがあれば、STO機能を二チャネル安全コントローラーに容易にインターフェースできます。

より高度なドライブ安全機能

他のほとんどのドライブ指定安全機能は、モーター電流と/または速度などのデータ分析を必要とします。これは通常マイクロコントローラーで実装され、第二のコントローラーが入出力データとプロセッサー・アクションを継続的に相互チェックします（図3参照）。不一致検出時の結果は、STO機能を通じてドライブが無効化されることです。

二チャネル相互チェックにより、危険方向へのハードウェア故障確率を許容レベルに低減します。スイッチなどの入力デバイスは、シンプルな「スタック・アット」エラー検出のために重複され、チャネル間のより巧妙なスニーク故障を検出するために多様化された電気パルスで供給される場合があります。基本的なインクリメンタル・シャフト・エンコーダーは、二つのパルス・トラックが90°位相シフトを持つため、ほとんどのエラーが不可能なパルス・シーケンスとなり検出可能という有用な固有機能を持ちます。デジタル出力は、意図的にハイ（真）ロジック状態で保持されている出力がまだローになれるかをテストする定期的なテスト・パルスでチェックされます（OSSD出力と呼ばれることもあります）。

体系的故障、すなわち設計に内在する故障の確率は、安全機能の正確な要件定義とその実装、テスト、文書化の追跡という最も厳格なプロセスにより許容レベルに低減されます。

完全な機械と安全コンポーネント

安全機能の仕様化と追跡の厳格なプロセスは、個々のアプリケーションごとに遵守されなければならず、機械設計者が最終的に責任を負います。機能安全機能を持つドライブが設計の一部として使用される場合、それは安全コンポーネントとなり、独自の安全要件仕様と認証が完全なシステム文書の一部になります。

欧州連合では、この要件が機械指令2006/42/ECの形で法に組み込まれており、別個に市場に出される安全コンポーネントの定義と要件を含みます。実践では、これは通常、ドライブが安全機能を備えており、政府承認の通知機関発行のEC型式試験証明書を伴うことを意味し、機械の安全関連制御システムで使用できるようにします。STO機能が標準で内蔵されており、安全コンポーネントとして使用されるかもしれないしされないかもしれない場合、ドライブは機械指令と低電圧指令に従って二つの別個のECメーカー宣言を持たなければなりません。