[ Home > 電気製品の EMC／安全適合性 ]
翻訳: T.Sato
1997年から 2010年のあいだ、私は、 大きく、重く、高価な「灰色の箱」(後述) を用いずに EMC4FS を達成するために必要なことは、 EMC 設計に関して、 そして EMC 設計ベリフィケーション/バリデーション (EMC 試験を含むが、それに限らない) に関して、 充分に賢明となることだけであると考えてきた。
だが、そのようなプロジェクトを実際に行なうように私に (そして私が知る他の誰かに) 求めた者はおらず、 従って、私の、そして EMC4FS に関する規格の作業を行なっている2つの IEC 委員会の仮定は、 試されなかった。 その後、 61508 ソサイエティ (www.61508.org) の会合に出席している時、 これらの仮定を使おうとして実行可能な方法がないことに気付いたいくつかの企業に出会った。
彼らは最終的に彼らの問題を私に理解させ、実のところ、 機能安全専門家との近年の議論の機会が、最終的に IET の 2013年のガイダンスで 8月に公表された代替手段の基本的なアイデアを既に私に準備させていた。
|
|
| Figure 1: 新しい IET のガイドが用いるアプローチの概観 |
さて、軍需品風の「大きい灰色の箱」を必要としない、この新しい、代替の、 そして (これまでで初めての) 実際的で対費用効果の良いアプローチとは何であろうか? Figure 1 に示すように、それは3つの部分から成る:
この新しいアプローチを用いるためには、EMC コミュニティ一般は、 機能安全関連システム、そしてそのようなシステムでの使用が意図された機器に 良い EMC 工学プラクティスを適用するために学ぶべきことが少しある。 そのようなシステムと機器を、 それらがそのライフサイクルを通じて該当する EMC 試験規格に適合し続けるであろうという 充分なコンフィデンスを持って設計し構築するために学ぶべきことも少しある。
そして、機能安全コミュニティの設計者と第三者アセッサーも、全ての EMI を正しく扱うために、 彼らが良く知っているテクニックと手段 (techniques and measures; T&M) を やや異なる形で適用するために学ぶべきことがもう少しある。
EMC T&M に、それのみとして頼るべきではない。
機能安全設計者は、エラー、誤動作、あるいは障害を引き起こす電磁妨害にもかかわらず
総合的な機能安全仕様が満足されることを確かとする T&M のセットを選択する。
2000年以来の 61508 の T&M と同様、受容可能な機能安全リスクのレベルが低くなれば、
作業と文書化の量は増加し、EMC T&M の選択に必要な能力は高くなる。
|
| Figure 2: 安全関連システムとその構成要素の概観 (黄色のボックスの中) |
伝統的な「大きい灰色の箱」アプローチ (第2章で述べる) を IET の新しいガイド [5] で述べられているもののような EMC T&M と 組み合わせて適用すべきでない理由はない。 例えば、その1つ以上が「大きい灰色の箱」法を用い、その他が [5] の EMC T&M を用いた サード・パーティから供給された機器 (特注品であれ量産品であれ) を用いて、 完全な安全関連システムが構築されるかも知れない。
注意: 私は EMC 技術者であって機能安全技術者ではなく、
この記事は EMC 技術者のために書かれているので、これを読んだ機能安全技術者が
機能安全の話題での単純化や誤りにあまりぎょっとさせられないことを望む。
|
| Figure 3: 大きい灰色の箱、そして大きい灰色のフィルタとサージ・サプレッサのいくつかの例
(これらの例は Universal Shielding, Inc. からのものであるが、
そのような箱とフィルタ/サプレッサの製造業者は他にもある) |
それは、その適用に熟練した多くの EMC 技術者、 そしてそのために適当な部品を供給できる多くの EMC コンポーネント製造業者が存在するほど、 軍需と通信の分野で長く用いられてきた。
その本質的なアプローチは、安全関連エレクトロニクスを、 全周波数範囲 (例えば 20Hz から 26GHz) の磁界と電界の双方に対して 少なくとも 80dB のシールド効果を持つ、 そしてそのライフサイクルにわたる物理的/気候的環境に対して非常に頑健で シールド性能を顕著に悪化させないシールド・エンクロージャ内に置くことである。 そのようなエンクロージャは、同様に頑健な「大きい灰色の電源フィルタ」と 「大きい灰色の電源サージ・サプレッサ」とともに用いなければならない。 信号は、フィルタ/サージ抑制ピン、シールド、あるいは双方を持つ ミリタリー・スタイルの丸形コネクタを通ってそのような箱に出入りする。
そのようなエンクロージャはシーム熔接か導電性ガスケットで接続された非常に厚い金属板から作られ、 このために「大きい灰色の箱」と呼ばれる。 Figure 3 はいくつかの例を示す。
この「力任せ」のアプローチでの問題は、多くの現代的な安全関連システム、 特に例えば民間用自動車での使用のためのもののように大量生産されるものにおいては、 それが大き過ぎ、重過ぎ、高価過ぎ、あるいは単に醜く過ぎるかも知れないことである。
機能安全設計者が上で述べた「大きい灰色の箱」法を適用できない (あるいはそうしないことを選択する) 場合、IET の新しい T&M [5] を用いることができる。
PS: どなたか、私が「大きい灰色の箱」法と読んでいるものの より良い名前を提案していただけないだろうか?
従って、IEC 61508 と関連規格は、 老化、腐食、偶発的または意図的な誤用などによって引き起こされるものを含む、 ライフサイクル中の全ての合理的に予見可能なエラー、誤動作、 そして障害 (例えば半田付け不良を含む) が検出され、 機能安全リスクが (あらかじめ決定された) ある最大の許容水準以下に保たれることを確かとするために 適切なアクションが行なわれることを求める。
(この記事では、「機器」という用語を、全ての種類の電子デバイス、モジュール、ユニット、 製品、サブシステム、システム、設備などを意味するために用いる。)
実際上、ソフトウェアやハードウェアのエラー、誤動作、 あるいは障害の検出で生じる安全関連活動は、2つの大きな区分に入る:
人工呼吸器やペース・メーカーのような明らかな医療用生命維持装置とともに、 このカテゴリーはリブリーザー方式の潜水具や宇宙服を含む。 我々の大半は (スクーバ方式潜水具の代わりに) リブリーザーを用いて潜水したり 宇宙遊泳をしたりはしないが、我々のほとんどが日常的に用いる、 安全状態のない他のカテゴリーがある ―― 陸路や空路での人の輸送。
稼働中の自動車や航空機に安全状態はなく、 (例えば) 製造機械のように単純に動力を切ることはできないので、 その安全関連制御システムは、誤動作や障害にもかかわらず 運転手や操縦士による制御を維持できるタイプでなければならない。 [7] は、この事実が無視され、あるいは見落とされた時に起こり得る安全上の問題の例である。
全ての電子機器は、EMI に伴って、エラー、一時的誤動作、あるいは恒久的損傷を被り得るので、 電磁妨害に耐える能力は受容可能な水準の機能安全リスクの達成のために重要である。 この理由のため、今は、IEC の EMC4FS に関する基本出版物 IEC TS 61000-1-2 [8] が IEC 61508 [6] の必須の要求となっている。 [8] は IET の 2008年版のガイド [2] と同じアプローチを用いており、 (「大きい灰色の箱」アプローチを用いないのであれば) 実際的でないレベルの EMC の専門知識を必要とする。
2008年版のガイドライン [2] は [8] に基づいており、双方の文書は 予期されるライフサイクル中の最悪条件の電磁環境の詳細なアセスメントに基づく EMC4FS 設計、 そしてそのベリフィケーションと 認定機能安全アセッサーによる最終的な (通常は第三者) バリデーションを基礎とする。 残念ながら、ライフサイクル電磁環境を充分に良く同定することには大きな実行上の困難がある。
[8] と [2] の双方が、設計、ベリフィケーション、そしてバリデーションで使用できるかも知れない いくつもの T&M もリストしているが、 規定された水準の機能安全リスクに適合した EMC 設計をどのように行なうかの詳細な情報も、 それが仕様を達成したことを第三者機能安全アセッサーがどのようにバリデートできるかも示していない。
結果として、EMC 技術者は典型的には彼らが最良と理解しているものに焦点を当てる: 設計で、そしてそのベリフィケーション/バリデーションのためのイミュニティ試験で、 電磁的緩和テクニック (フィルタ、シールド、サージ抑制、絶縁など) を用いる。
残念ながら、受容可能な水準の機能安全リスクを [6] に従って達成するために必要な設計のコンフィデンスは、 ほとんどの EMC 技術者と EMC 試験員が達成している専門知識よりも1桁から4桁大きい。 従って、このアプローチは [8] と [2] が書かれた時には良いアイデアのように見えたものの、 実際には、それは著しく困難であることがわかっている。
[6]、[8]、そしてそれらに関連する/代わりとなる規格は安全規格であり、 EMC 規格とは大きく異なっていることを理解することが重要である。 これらに従うことは、機能安全 ――EMC の分野とは全く独立に発展した工学分野で、概念や用語を共有しない―― の達成の専門知識を必要とする。
これらの2つの分野のあいだの大きな違いが、 あらゆる EMI にもかかわらず全ライフサイクルにわたって 機器が受容可能な水準の機能安全リスクを達成することを確かとする筈の EMC や機能安全の技術者が直面する困難に大きく加わる。
第1章で簡単に述べたように、 [2] と [8] を適用しようとする際に経験した実際上の困難が、 IET EMC4FS WG に新しい (2013年8月の) ガイダンス [5] の作成を促した。
シールド、フィルタ、サージ抑制などによって充分に減衰させられなかった全ての電磁妨害は、 EMI 問題をもたらす。 そのような EMI 全ては、 機能安全関連ハードウェア/ソフトウェアの設計者が良く知っている T&M で対処できる、 ハードウェア、ソフトウェア、あるいは双方での 信号、データ、あるいはパワー・インテグリティの問題として現れる。 これらの T&M は 2000年から (ほとんど) [6] でリストされており、 それ以前から長年 (数十年さえ) 実地での発展と使用を通じて 全て非常に良く証明され、良く理解されている。
機能安全設計は常に第三者安全アセスメントの対象となり、 もし第三者アセッサーが設計を好まない、 あるいは実施されたベリフィケーションとバリデーションが それが安全であることを充分に証明していないと考えれば、 彼/彼女はその設計の生産に関する完全な拒否権を持つ。 従って、第三者機能安全アセッサーは 61508 [6] でリストされた設計 T&M を既に熟知している。
これらの設計 T&M はハードウェアとソフトウェアへの EMI の影響に対して 非常に効果的であることがわかっているが、 それらはそもそも EMI に対処するために開発されたものではなく、 従って、第1章で述べたように、新しい IET ガイダンスは EMI によって引き起こされたエラー、誤動作、そして障害が 機能安全リスクを規定された許容可能な水準を超えて上昇させない筈だということを 設計者が第三者機能安全アセッサーに充分に実証するために それをどのように改善し得るかを勧告している。
例えば、ありふれた 61508 T&M の1つは、 同じ入力を持つハードウェアとソフトウェアの同一のセットを2つ持ち、 そのデータに対して同じ動作を行なわせることである。 もしこれらの「並列チャネル」のいずれかにエラー、誤動作、あるいは障害が生じたならば、 比較器がそれらの出力がもはや一致していないことを検出し、 安全を維持するための適切なアクションを起動させる。
だが、回路やソフトウェアへのある EMI の影響は「系統的」であってランダムでなく、 従ってそれが対応するチャネルに生じるエラー、誤動作、あるいは障害は、 比較器が問題を全く通知できないほど似たものに容易になり得る。 そのような系統的なエラーはしばしば「共通原因」と呼ばれ、IET の新しいガイドは、 並列チャネルを用いる際にはその一方が他方とは反転したデータで動作すべきであると勧告する。
そうすれば、EMI の共通原因の系統的影響は2つのチャネルのデータに異なる影響を与え、 EMI によって引き起こされたエラー、誤動作、そして障害を その二重化チャネル・テクニックが検出できる可能性を大きく高めるであろう。 1つのチャネルのデータを反転し、比較のために再反転することは、 ほとんどの設計者がそうするように FPGA を用いる時には生産コストを全く増やさないことに注意されたい。
IET の新しいガイドは、並列チャネルを用いる時、それらのハードウェアとソフトウェアが 同一の最終的結果を達成する異なるアーキテクチャを用いて実現されることも推奨している。 これは安全状態がない場合に安全な動作を維持するために多数決を取られる 3つの以上の並列チャネルが用いられる時に特に価値があるテクニックであり、 このテクニックは、例えば、現代的な航空機の飛行制御電子機器のために良く用いられている。 往々にして高価な「ハイ・エンド」テクニックとして考えられるものの、 量産されるシリコン・チップ内で実現される時、それが加えるコストは僅かである。
勿論、非常に広範囲の安全関連システムがあり、
従ってエラー、誤動作、あるいは障害によって引き起こされる機能安全アクションは
非常に異なったものとなり得る。
「セフティケース」が、どのアクションが取られるか、
そしてそれがどのように/なぜ必要なレベルの安全リスクを維持するのかを文書化し、
それは第三者機能安全アセッサーによっても評価される。
|
| Figure 4: 「オン・デマンド」安全機能のために必要な設計のコンフィデンス |
|
| Figure 5: 「連続」安全機能のために必要な設計のコンフィデンス |
安全機能の例は、温度や圧力が所定の限度を超えた時の化学プランとのシャットダウン、 ガードが開かれた時の回転機の停止、 プログラムされた経路に人が入った時のロボット・アームの停止、 航空機のメインの飛行制御システムが故障した時のバックアップ・システムへの切り替えなどを含む。
それぞれの安全機能は、それが制御することが意図されているものについての 受容可能な危険側障害発生率 (すなわち受容可能なリスク水準) に基づいて SIL を割り当てられる。 Figure 4、及び 5 (それらを [6] から採用した [9] からコピーされた) に示すように、 それぞれが1桁の範囲の危険側障害発生率に対応する4つの SIL がある。
「オン・デマンド」安全機能は、 産業機械が過剰なオーバートラベルやオーバースピードを生じた時の自動「安全停止」のように、 必要な時にのみ作動するものである。
「連続」安全機能は、人が駆動されている機器で直接作業していて 切断や押し潰しなどのハザードに曝されている時にモータ・ドライブが発生する「安全トルク」のように、 常に作動しているものである。
SIL4 は最低の危険側障害発生率 (最低の受容可能なリスク水準) に関係し、 従って機能安全設計と第三者バリデーションの双方に最大のコンフィデンスを必要とする。 典型的には、SIL4 は、航空機の飛行制御、鉄道の信号、 原子力発電所の安全停止のようなもののための電子システムのために用いられる。
SIL3 は SIL4 よりも10倍高い危険側障害発生率 (10倍高い受容可能なリスク水準) を許容し、 従って10倍低い設計/バリデーション・コンフィデンスを必要とする。 SIL3 は、しばしば、障害の帰結が深刻ではあるが SIL4 ほど深刻ではない、 例えば自動車駆動制御システム (アクセル、ブレーキ、ステアリングなど)、 機械、プロセス制御などの、中量/大量生産される機器に適用される。
スケールの反対側で、SIL1 は、 良い設計とベリフィケーションのプラクティスを適用して普通に達成されるものよりも やや安全である必要があるだけのシステムのために用いられる。 SIL のもう1つの見方は、SIL1 を 通常の良い設計とベリフィケーション/バリデーションのプラクティスで達成されるリスク水準を 1/10 に下げることを必要とするものと考えることである; SIL2 はリスク水準を 1/100 に下げることを必要とし、 SIL3 は 1/1,000 のリスク低減を必要とし、 SIL4 は 1/10,000 のリスク低減、 すなわち通常の良い工学プラクティスで達成されるものの 0.01% のリスク水準を必要とする。
EMI は [6] と [8] で「系統的故障モード」として同定され、 これはそれが統計的にランダムでないことを意味するが、 ソフトウェアの「バグ」があるソフトウェア設計の特徴であるとみなされるのと同じ意味で ある設計の特徴である代わりに、ランダムに発生する。
SIL の概念は、電子的なものだけを使用するとは限らず、 電気機械、機械、建設作業 (例えば吹き付けシールド)、 そして要員管理 (例えば吹き付けシールド内の区域への立ち入り制限) も含む、 完成された安全関連システムに適用される。 典型的に、私は EMI の SIL への寄与は総合的なリスクの 10% よりも大きくないと聞いている。 従って、様々な SIL についての Figure 4、及び 5 の数字は、 EMC 設計コンフィデンスのみを考える時には少なくとも 10倍緩める必要がある。
系統的故障 (エラー、回復可能な誤動作、そして恒久的な障害を含む) は、 証明済みの設計テクニック、 そして証明済みのベリフィケーション/バリデーション・テクニックの使用によってのみ対処できる。 それとともに、これらは、関係する安全機能に対して規定された SIL が必要とする、 設計、そしてその (通常は第三者による) バリデーションでコンフィデンスを達成しなければならない。
電磁妨害の発生率を予測しようとすることは、 規定された SIL を達成しようとする時には通常は不適当である。 例えば、特に厳しい電磁妨害が平均して10年に1回のみ生じるとしても、その SIL は、 それが発生した時に安全機能がこの稀な電磁現象に耐えるであろうコンフィデンスの水準に対応する。
これは、しばしば見落とされる、リスク・マネジメントの重要な側面である。 私は、誤って電磁妨害の発生確率の統計的根拠を用いて SIL (あるいは ISO 26262 の ASIL) を達成しようとしている EMC 技術者をしばしば見る。 それは些細なことではなく、[5] は、 EMC 専門家が機能安全工学についての何かを理解する必要を完全に取り除くことで、 誤解によって引き起こされる危険な過ちの除去を助ける。
ほとんどの産業は、 IEC 61000-2-5 [10] や IEC 61000-4 シリーズのイミュニティ試験規格 [11] のような、 従うべき電磁環境の非常に一般的なガイドラインのみを持つ。 これらは、安全関連やその他のリスク管理された用途を一切考慮しない、 「経済的/技術的妥協」と呼ばれるものに基づいている。 どの標準化チーム・メンバーと話すかによるが、これらの文書での電磁妨害のタイプとレベルは 「通常」の電磁妨害で予期され得るものの 80% から 95% のあいだをカバーすると予測される。
車両の速度が運転手の制御を外れることを防ぐための安全機能のために EMI に対する通常のイミュニティを例えば 10,000倍まで改善しようとしている時には、 最悪条件の (すなわち最も極端な)、稀もしくは普通でない電磁妨害は、非常に重要である。
多くの安全関連システムの製造業者、そして第三者機能安全アセッサーが、 それらの機器の予期されるライフタイム中の最悪条件の電磁環境についての専門知識がなく、 そのような専門知識を用いることができないので、 [8] に従い始めることさえできないと語った。
今後10年、20年、30年、あるいはそれ以上の年月 (例えば、鉄道は50年以上の運用寿命のために設計されている) のあいだの、 特定の場所、いくつもの場所、あるいは車両の経路での 最悪条件の電磁環境が何であるかを予測する能力に関する著しい問題もある。
軍需や航空の分野の EMC 設計者は、ミッション・クリティカルの程度を考慮して、 その電磁環境とそれに対応するイミュニティ試験の決定のために 多くの作業が行なわれてきた (そして今も行なわれている) という大きな利点を持つ。 だが、彼らでさえも、 そのクリティカルなシステムの30年から40年先の電磁環境を予測することは、 あるいは予期可能な電磁妨害のいずれかが同時に、 あるいは関係する機器にとって重要な何らかの順序で発生する確率 ([12] と [13] を参照) を評価することはためらうかも知れない。
[2] と [8] で必要とされるライフサイクル電磁環境評価に対する、 [5] の非常に大きい利点は、規定された SIL のために必要な設計のコンフィデンスが 任意の/全ての電磁妨害に関して達成されていることを、 その T&M が確かとすることである。 それらは全ての信号/データ/電力のインテグリティの問題をカバーするので、 それらは予見されていなかった、 あるいは予見できない電磁妨害ととその組み合わせを含む全ての EMI もカバーし、 従って将来あり得る電磁環境の任意の/全ての変化に対処する。
チョークとコンデンサから成るフィルタ、そしてシールドは、 そこでは減衰ではなくゲインを与える共振周波数を持つ。 フィルタ共振は現実の信号源と負荷のインピーダンスに影響され、 それらは標準的な EMC 試験では試験されない。
シールド共振は、それらのギャップがどれだけ狭いとしても、 不可避な継目や接合部のギャップの大きさに影響される。 (生地のアルミニウム上に自然に形成される酸化皮膜は共振開口を作るためには充分過ぎる。)
物知りの EMC 設計者は、 ライフサイクル中の電磁環境で合理的に予見可能な脅威がある周波数範囲外で これらの共振が生じることを確かとするであろう。 だが、コンポーネントの値は内部の劣化、及び/もしくは温度に伴って時とともに変化し、 半田付けやその他の種類の電気的接続も、例えば衝撃、振動、電食などに伴い、時とともに劣化し得る。 例えば、該当する IEC 規格に完全に適合する一部の安価な X2 コンデンサは、 1000時間の動作毎にその容量の 10% を失う。
その結果はフィルタやシールドの共振周波数は時とともに、通常は良くない方向に変化し、 その電磁環境で著しい電磁的脅威が生じ得る周波数範囲で ゲイン (あるいは、少なくとも、不充分な減衰) を生じ得るというものである。
2つ以上の異なるタイプのフィルタやシールドの冗長的な組み合わせでの使用は そのような共振シフトの影響の緩和を可能とするが、 複数のフィルタやシールドのあいだの相互作用は共振の追加の可能性を生じさせ、 それにも対処しなければならない。
[5] は、EMC の専門知識が滅多に必要とならないよう、 EMI のほとんどの/全ての影響に回路とソフトウェアの設計で対処することを実際的とすることで、 この全ての問題を回避する
[12] と [13] は、通常のコンポーネントで正しく組み立てられた新しい機器について、 イミュニティ試験の「カバー率」を、 おそらくは SIL への適合を証明できるポイントまでさえも拡大する方法を議論する。 だが、そのような試験は次のような重要な EMC 問題を管理されないままとするであろう: (例えば) コンポーネントの許容差、劣化、ロット不良、そして偽造; 組み立て不良; 劣化、腐食、予見可能な故障/使用/誤用など。
IEC 61508 [6] は、規定された SIL への適合に関して 試験テクニックのみを用いて完全にベリフィケーションやバリデーションを行なえるのは 機能安全設計のごく僅かな側面であることを常に理解していたし、 これは、ソフトウェアのバグの試験と全く同様、電磁的イミュニティの試験にも当て嵌まる。
その SIL で必要となる水準のコンフィデンスでの 設計ベリフィケーション/バリデーションを達成するために、[6]、[8]、及び [2] は、 例えば次のものを含む様々な設計アセスメント T&M の使用を規定する:
[5] の新しいガイダンスは、ほとんどの EMI リスク・マネジメント問題を、 それ以前からでないとすれば、2000年に [6] が最初に公表されて以来 ほとんどの第三者機能安全アセッサーが相当の専門知識を得てきた、 適切なハードウェア/ソフトウェア設計 T&M の選択へと動かすことで、 この問題領域全てを避ける。
新しい IET ガイドの T&M の適用の徹底の程度に依存して、 電磁妨害に耐えることについてのコンフィデンスを、SIL1 の達成を助けるために100倍まで、 あるいは SIL4 の達成を助けるために 100,000倍まで引き上げられる。
[5] のアプローチの理解の鍵となる問題は、 EMI の電子的ハードウェアとソフトウェアへの影響は、 常に信号/データ・インテグリティ (SI)、及び/もしくはパワー・インテグリティ (PI) の劣化、 あるいは一時的もしくは恒久的な損傷であるということである。 SI と PI の劣化や障害は、常に、 ハードウェア、ソフトウェア、及び DC 電源の設計への適切なテクニック (エラー検出、及び/もしくは訂正を含む) の適用によって対処できる。
機器が「安全状態」 (例えば動力停止) を持つ場合、 エラー、誤動作、あるいは障害が検出された時に (例えば、用途によっては電源を切ることで) それを安全状態に置くように制御するために エラー検出 T&M を用いることができる。
安全状態がない場合、機器が設計者が意図したように動作し続けるように 正しい信号、データ処理、そして電源レールを回復させるために、 エラー訂正テクニックを使用できる。 継続的な全仕様動作が必要なある種の状況では、 過電圧、過電流、あるいは過大な電力消費による恒久的な損傷の防止の上で EMC 専門知識が必要である。 そのような EMC 要求はハードウェアやソフトウェアの機能安全専門家が指定するべきである。
[5] で述べられている「設計強化」T&M のほとんどは 2000年以来 [6] でリストされており、 従って機能安全関連機器の設計者やその第三者アセッサーに良く知られている。 [6] で述べられていなかった [5] の少数の T&M は ほとんどは機能安全工学での立証済みのグッド・プラクティスであり、 これらも設計者やアセッサーに良く知られている。 だが、[5] の T&M の1つか2つは完全に新しいものであるが、 それらは設計者やアセッサーに何ら困難をもたらさない筈である。
[6] とそれに関連する規格への適合で既に用いられているこれらの証明済みの「強化」T&M を 規定された SIL のための EMI をカバーするように拡張することを可能とする知識は、 EMI が次のことを引き起こし得るということである:
これが実際に意味することは、新しい IET ガイドのハードウェア/ソフトウェア T&M は、 通常は、[6] でリストされている普通の T&M で典型的だったものよりも 厳格に適用する必要があるだろうことである。
だが、そのシステムが実際の鉄道に配備された時、 通常の電磁環境で引き起こされる EMI がほぼ 30秒毎に安全状態 (赤灯; RSF) へとフェールさせ、 列車は走行できなかった。 その信号システムは完璧に安全であった ―― 残念ながら、それは、全ての列車を常に止めることで、その鉄道を運用不能とした!
あまりにも頻繁に「フェール・セーフ」する機器は、 可用性を向上して生産性を改善しようとしての、例えばその安全関連システムの切り離しのような、 ダウンタイムを減らすための無許可の改造を受けることが予期される。 これを考慮し損ねた製造業者は、少なくとも欧州においては、 製造物責任規則のもとでの責任のリスクを増大させる。
従って、低いダウンタイムを維持することが必要であり、 [5] は、その用途のための、その通常の電磁環境についての、 エミッションとイミュニティ試験を行なうことを勧告する。 これらの規格は EMC 指令への適合のために必要なものかも知れず、 あるいは顧客が規定した EMC 規格 (典型的には、例えば軍、地下鉄、そして自動車の用途のような) であるかも知れない。
これは、勿論、 このレベルの EMC 性能が全ライフサイクルにわたって維持される必要があることを除き、 現在既に行なわれていることである。
機器がそのライフサイクルにわたって該当する EMC 規格に適合し続けることを確かとするために、 一部の製造業者は、通常の EMC エミッション/イミュニティ試験規格に適合した機器を 確立された加速テクニックを用いて人為的に老化させ、 それが依然としてそれらの EMC 規格に適合するかどうかを確認するために その老化したユニットを再試験する。
大規模な設備や高価な軍用ビークルで用いられることがある別のアプローチは、
ライフサイクル中に定期的にその電磁緩和手段全てを確認、及び/もしくは試験し、
著しく劣化した、あるいは個別の計画された耐用期限に近いものの手入れか交換を行なうことである。
(フィルタやサージ・サプレッサが受け入れられないほど劣化していて交換が必要かどうかの
現場試験のために設計された機器を生産している製造業業者が少なくとも1社ある。)
|
| Figure 6: 近接した無線送信機のための [19] の試験で用いられるアンテナ |
実際、多くの現代的な作業環境 (ヘルスケアを含む) は 実際には今は無線送信機の近接に依存している! IEC 61000-4-3 のような通常の遠方界 RF イミュニティ試験を用いた試験は 近傍界 RF 送信機を模擬できないので、 近接した無線送信機を安全関連システムから確実に離しておくことができないならば、 それは [19] に適合すべきである。
空港、港、軍事基地などからのレーダー・パルスに曝される場所は、 そのイミュニティ試験 [20] を適用する必要があるかも知れない。
一般に、適当な水準の可用性の維持の理由のため、 電磁環境が、それが引き起こす EMI が安全関連システムの動作をトリガする時に 受け入れられないダウンタイムを引き起こすかも知れない、 著しいレベルの電磁妨害に曝される場合、 安全関連システムはそのライフサイクルにわたって 該当するイミュニティ試験規格に適合することを確かとするように設計され試験されるべきである。
そのような EMC 専門知識の欠如と、そのような EMC 専門知識の獲得への関心の見掛け上の欠如、 それに加えてこの EMC 工学ベースのアプローチに関連する多くの実際上の困難は、 現在、EMI が機能安全関連システムで完全に考慮されることを妨げている (「大きい灰色の箱」アプローチを用いるのでないならば)。
実際のところ、仮定された EMC 専門知識が魔法のように利用可能となったとしてさえも、 [8] と [2] で仮定したアプローチを実際に機能させられた可能性は低そうである。
これらの理由のため、IET の EMC4FS に関する作業部会からの最新のガイダンス [5] は、 該当するエミッション/イミュニティ試験規格への適合を ライフサイクルにわたって確かとするために必要なもの以上の EMC 専門知識の開発や使用の必要を避ける。
それは、作業の一部を、熟練したハードウェア/ソフトウェア機能安全設計者、 そして熟練した第三者機能安全アセッサーの既存の基礎の上に移すことでこれを行なっている。
[5] は、ハードウェアとソフトウェアの双方の、 既存の、証明済みで良く理解されている「設計強化」T&M を拡張することで、 この設計者とアセッサーのコミュニティが EMI に関する機能安全リスクを管理することを 実際的かつ対費用効果が良いものとする。
該当するイミュニティ試験規格への適合で対処できるものを超える電磁妨害の影響は、 ハードウェア/ソフトウェア T&M で検出され、セフティケースに従って、 機能安全リスクを受容可能な水準に維持するために適切なアクションが取られる。
[2] The IET, “EMC for Functional Safety”, Edition 1, Aug. 2008, from http://www.theiet.org/factfiles/emc/emc-factfile.cfm, or http://www.emcacademy.org/books.asp
[3] K. Armstrong, “The New IET guide - how to do EMC to help Achieve Functional Safety.” In: C. Dale, T. Anderson (ed's) “Making Systems Safer”, Proceedings of the 18th Safety-Critical Systems Symposium, Bristol, UK, 9-11 February 2010. Published by Springer, London, in 2010, ISBN: 978-1-84996-085-4.
[4] K. Armstrong, “The IET's new guide: EMC for Functional Safety ― Applying Risk Management to EMC”, Inside Functional Safety, Vol. 2010, Iss. 02, http://www.insidefunctionalsafety.com/article/29.html
[5] The IET, “Overview of techniques and measures related to EMC and Functional Safety”, August 2013. This PDF document can be downloaded from the list at http://www.theiet.org/factfiles/emc/index.cfm, or downloaded directly from http://www.theiet.org/factfiles/emc/emc-overview.cfm.
[6] IEC 61508 Ed.2:2010, (in seven parts), “Functional Safety of Electrical/Electronic/Programmable Electronic Safety-Related Systems”, IEC basic safety publication.
[7] Melissa Fyfe and Grace Dobell, “Outcry on safety forces VW recall”, The Age, Sydney, Australia, June 12, 2013, http://www.theage.com.au/drive/motor-news/outcry-on-safety-forces-vw-recall-20130611-2o28i.html. All IEC publications may be purchased from http://webstore.iec.ch.
[8] IEC TS 61000-1-2, Ed.2.0, 2008-11, “Electromagnetic Compatibility (EMC) - Part 1-2: General - Methodology for the achievement of the functional safety of electrical and electronic equipment with regard to electromagnetic phenomena”, IEC basic safety publication.
[9] K. Armstrong, “Including EMC in Risk Assessments”, IEEE 2010 International EMC Symposium, July 25-30, Fort Lauderdale, FL, ISBN: 978-1-4244-6307-7
[10] 61000-2-5,”Electromagnetic compatibility (EMC) - Part 2-5: Environment - Description and classification of electromagnetic environments”
[11] 61000-4-x, “Electromagnetic compatibility (EMC) - Part 4: Testing and measurement techniques”. There are very many parts in this series.
[12] W. Grommes and K. Armstrong, “Developing Immunity Testing to Cover Intermodulation”, IEEE 2011 International EMC Symposium, Long Beach, CA, August 15-19, ISBN: 978-1-45770810-7
[13] K. Armstrong, “Testing for immunity to simultaneous disturbances and similar issues for risk managing EMC”, IEEE 2012 International EMC Symposium, Pittsburgh, PA, August 5-10, ISBN: 978-1-4673-2059-7.
[14] K. Armstrong, “Why Increasing Immunity Test Levels is Not Sufficient for High-Reliability and Critical Equipment”, IEEE 2009 International EMC Symposium, Austin, TX, August 17-21, ISBN: 978-1-4244-4285-0
[15] K. Armstrong, “Why EMC Immunity Testing is Inadequate for Functional Safety”, 2004 IEEE International EMC Symposium, Santa Clara, CA, Aug. 9-13, ISBN 0-7803-8443-1
[16] W. Radasky, J. Delaballe and K. Armstrong, “7b) Testing EM for Safety”, part of the “Workshop on EMC & Functional Safety”, IEEE 2009 International Symposium on Product Safety, October 26-28, Toronto, Canada
[17] K. Armstrong, “Including EMI in Functional Safety Risk Assessments”, 20th Safety-Critical Systems Symposium, Bristol, UK, 7-9 February 2012, Proceedings: “Achieving Systems Safety”, editors Chris Dale, Tom Anderson, Springer 2012, ISBN: 978-1-4471-2493-1.
[18] Machine-to-Machine communications (`M2M'), see http://en.wikipedia.org/wiki/Machine_to_machine
[19] IEC 61000-4-XX (proposed), immunity to radiated fields in close proximity, 9kHz to 6GHz. At the moment the closest to this standard is ISO 11452-9.2 “Road vehicles ― Component test methods for electrical disturbances from narrowband radiated electromagnetic energy ― Part 9: Portable transmitters”. This is based upon the Ford Motor Company's Test Method RI 115 “RF Immunity to hand portable transmitters” in their EMC-CS-2009.1, “EMC Specification for Electrical/Electronic Components and Subsystems”. Many EMC test labs around the world are equipped for, and familiar with doing this test, which can be downloaded from http://www.fordemc.com/docs/download/EMC_CS_2009rev1.pdf.
[20] RI 114 “RF Immunity 400MHz - 3,100MHz” from Ford Motor company's EMC-CS-2009.1, “EMC Specification for Electrical/Electronic Components and Subsystems”. Many EMC test labs around the world are equipped for, and familiar with doing this `radar' test, which can be downloaded from http://www.fordemc.com/docs/download/EMC_CS_2009rev1.pdf.
これは、EMC+Compliance Journal に掲載された記事を、 その許諾を得て T. Sato が翻訳したものです。 この翻訳については、原著者らはいかなる責任も持ちません。 これについての意見、質問などは VEF00200@nifty.com (T.Sato) 宛にお送り下さい。
Last update: 2013-11-25