安全性と電磁耐性を確保するための設計 - 産業用PCのインターフェースに安全絶縁を適用する

はじめに

産業分野では、ワークロードに関連する要求がより厳しくなっています。それに伴い、産業用PC(IPC:Industrial PC)をはじめとするより強力なコンピューティング・プラットフォームの必要性が高まりました。ただ、IPCのようなコンパクトで高性能なシステムを導入する際には、安全性に関する厳格な要件を満たさなければなりません。なかでも、サード・パーティ製の機器やケーブルに接続されるインターフェースは、ユーザが触れる可能性がある部分です。そのことに起因して、安全性に関する厳しい要件が生じます。

この記事では、IPCのインターフェースに安全絶縁(Safety Isolation)を適用する方法について解説します。具体的には、安全性と電磁環境適合性(EMC)に関する規格について説明します。なかでも、IEC 61010-1とIEC 60601-1について特に詳しく解説することにします。これらの規格は、インターフェースの絶縁方法に関連する様々な事柄を規定しています。実際の設計では、まず適用する絶縁の種類を選択した上で、沿面距離/空間距離/絶縁耐圧に関する要件を決定します。その目的は、信頼性が高く、プラグ＆プレイに対応可能で、コスト効率に優れるアーキテクチャを実現できるようにすることです。

IPCとは何なのか？

IPCは、小型でモジュール式のコンピューティング・システムです。産業分野の特定のタスクを実行するために使用されます。IPCは、過酷な環境においても確実に動作する必要があります。そのため、高い堅牢性が得られるように設計されます。例えば、ファンを使用しないといった具合です。ただし、大電力を消費するCPUやGPUに対応するために、アクティブな冷却手段を採用しているものも存在します。

現在のコンピューティング・システムでは、単に演算性能を向上させるだけでなく、AI向けのアクセラレーション・プラットフォームの採用が進んでいます。それに伴い、IPCは工場やエッジで稼働するオートメーション・システムで使われるようになりました。高度な制御システム、ビジョン・システム、分析システム、ロボットなどの用途では、PLC(Programmable Logic Controller)を補完したり、置き換えたりするために使用されることもあります。

産業分野では、モジュール式の設計への移行が進んでいます。それに向けて、多くのメーカーはCOM(Computer on Module)やSoM(System on Module)のソリューションを採用しています。具体的には、「NVIDIA Jetson」や、Intel/AMDのCPUをベースとするCOM Expressモジュールなどが用いられます。それにより、IPCのカスタム開発が容易になります。つまり、対象とするワークロードに応じ、カスタマイズされたキャリア・ボードと市販の演算モジュールを組み合わせることでシステムを構築できるということです。モジュール式のシステムであれば、取り付けの柔軟性が高まり、保守性が向上し、専用コンポーネントの統合方法が簡素化されます。

• 

  図1. IPCのブロック図

一般的なIPCは、図1に示すような形で実現されます。まず、SoM/COMを構成するコンポーネントとしては、以下のようなものが使用されます。

• CPU、SoC(System on Chip):多くの場合、x86またはArmのアーキテクチャを採用したものが使用されます。GPUが統合されることもあります。
• RAM、ストレージ:高速メモリ(DDRx)やソリッドステート・ストレージ(SSD、NVM Express)が用いられます。

一方、キャリア・ボードは以下のようなコンポーネントによって構成されます。

• 産業用のI/Oインターフェース:USB、RS-485、ビデオ入力、絶縁機能を備えるデジタルI/OやアナログI/O
• 通信モジュール:イーサネット(MACとPHY)、Wi-Fi/Bluetooth、セルラ(LTE/5G)
• 高速化に向けた拡張機能:PCI Express、SATAに対応するコネクティビティ、フィールド・バス/モーション制御カード(EtherCAT、PROFINETなど)
• システムのパワー・マネージメント機能とハウスキーピング機能:電圧レギュレータ、トランジェントに対する保護機能、スーパーバイザ

このようなモジュール式のアプローチを採用した場合、システムが過酷な外部環境に接する部分に対する配慮が重要になります。つまり、キャリア・ボードの電源、コネクタ、産業用のI/Oインターフェースに対して気を配る必要があります。IPCは、オートメーション機能を実現する既存のデバイスを単に置き換えるために導入されるのではありません。そうではなく、工場の製造フロアで使用される機能を強化することも目的の1つです。

IPCの一般的なワークロードとしては、制御、監視、HMI(Human Machine Interface)/SCADA(Supervisory Control and Data Acquisition)による可視化、マシン・ビジョン、ロボットの制御、データの収集、エッジにおける分析、ゲートウェイ機能などが挙げられます。各種分野における代表的なアプリケーションの例としては、以下のようなものがあります。

• ファクトリ・オートメーション(FA):高度な制御、ソフトPLCのアーキテクチャにおけるPLCの置き換え、ロボット、モーション・コントロール、マシン・ビジョン、品質の検査
• 輸送:鉄道システム、車両(バス、トラック)、旅客情報システム、予知保全
• エネルギー事業/公益事業:太陽光発電/風力発電用のコントローラ、変電所の自動化、状態監視、エッジにおけるデータ・アグリゲーション
• 医療:患者のモニタリング用ゲートウェイ、画像診断システムのコントローラ、機器の接続、サイバーセキュリティ用のゲートウェイ
• スマート・シティ/IoT:監視、ビデオの分析、エッジ用のゲートウェイ、交通管理、環境のモニタリング

IPCの絶縁の要件、安全性とEMCについて考慮すべき事柄

IPCを設計する際には、最終的なアプリケーションに応じ、安全性に関する規格や電磁耐性(イミュニティ)に関する規格に準拠する必要があります。設計上のあらゆる要件を満たしつつ、システムの保護を実現しなければならないということです。

例えば、ユーザが触れるインターフェースや長い外部ケーブルは、危険な電圧にさらされる可能性があります。また、グラウンドの電位差、サージ、伝導性のRF妨害(以下、RF妨害)といった問題が発生する場所にもなり得ます。したがって、堅牢性の高いプラグ＆プレイを実現するインターフェースを構築しつつ、分離を図り、障害を封じ込め、イミュニティの目標を達成する必要があります。その手段として一般的に使われる方法がガルバニック絶縁です。

本稿で紹介するIEC規格は、特定の業界で生じ得る危険な要因を対象としています。各規格には、IPCのインターフェースが満たさなければならない絶縁距離(沿面距離、空間距離)と絶縁耐圧の値が定められています。代表的な規格としては、以下に列挙するようなものがあります。

• IEC 60601-1:医療用の電気機器を対象とする規格です。患者とオペレータを保護するために、安全性に関する要件を定義しています。装着部や人が触れるコネクタについては、多くの場合、分離に関する厳格な要件を満たすことが求められます。具体的には、患者を保護するための手段(MOPP:Means of Patient Protection)やオペレータを保護するための手段(MOOP:Means of Operator Protection)が必要になります。
• IEC 61010-1/IEC 61010-2-201:産業用機器や実験用機器を対象とする規格です。制御システム、計測システム、実験室で使用されるシステムの安全性を確保するための電気的な要件が定められています。
• IEC 60079-11:爆発性雰囲気における本質安全防爆構造“i”に関する規格です。危険な区域に配置される回路について、エネルギーを制限することを求めています。その目的は、定義された障害が発生した状態においても、火花や機器表面の高い温度によって爆発性のガス雰囲気が点火しないようにすることです。本質安全防爆(IS:Intrinsic Safety)に対応する回路は、他のIS回路や安全区域内の非IS回路と接続されることがあります。その場合、エネルギーの制限を実現するための標準的な方法としてガルバニック絶縁が用いられます。
• IEC 61508:「電気・電子・プログラマブル電子安全関連系(E/E/PE SRS:Electrical/Electronic/Programmable Electronic Safety-Related System)の機能安全」という名称でも知られる規格です。この規格は安全度水準(SIL:Safety Integrity Level)を達成するための要件を定義しています。この規格において、ガルバニック絶縁は必須の要素ではありません。ただ、障害の伝播を防止し、障害の排除をサポートするために、ガルバニック絶縁は広く使用されています。例えば、ガルバニック絶縁を適用した2つのチャンネルを使用することで、両チャンネル間の障害の伝播を防止するといった具合です。そうすれば、共通原因故障(CCF:Common Cause Failure)に対する脆弱性を緩和することができます。

IPCのインターフェースは、安全に関する要件だけでなく、イミュニティ(伝導イミュニティ)に関する要件も満たす必要があります。なぜなら、長い外部ケーブルやサード・パーティ製の接続機器は、高速なトランジェント、サージ、RF妨害がシステムに侵入する直接的な経路になるからです。また、要件を満たしているか否かは、インターフェースにガルバニック絶縁が適用されているかどうかにかかわらず、機器のポートで判断されます。

より高いイミュニティを容易に実現できるようにするためには、ガルバニック絶縁によって直接的な電流経路やグラウンド・ループを遮断するとよいでしょう。あるいは、コモン・モード過渡耐性(CMTI:Common-mode Transient Immunity)の高いアイソレータを使用して、コモン・モードの事象による信号の劣化を防止する方法も有効です。

アプリケーションごとに定められたEMC規格は、特定の種類の機器に求められるイミュニティのレベルと性能の基準を定めています。例えば、以下に挙げるような規格が存在します。

• IEC 61326-1:計測/制御/実験に用いられる電気機器が満たすべきEMCの要件
• IEC 61131-2:PLC/IPC/産業用制御機器の機能とEMCに関する要件
• IEC 61000-6-2:産業環境で求められるイミュニティについて定めた一般的な規格
• IEC 60601-1-2:医療用の電気機器に求められるEMCの要件

また、一般的なイミュニティの規格としては以下のようなものがあります(アプリケーション別の規格で参照されています)。

• IEC 61000-4-4:電源ケーブルと信号ケーブルを対象とし、電気的高速トランジェント(EFT/B:Electrical Fast Transient/Burst)に対するイミュニティの試験について定めています。
• IEC 61000-4-5:電源ケーブルと信号ケーブルを対象とし、サージ(誘導雷サージ、スイッチング・サージ)に対するイミュニティの試験について定めています。
• IEC 61000-4-6:電磁界によって誘起されるRF妨害に対するイミュニティ(多くの場合、グラウンド・ループやコモン・モード結合の影響に関連)について規定しています。

I/Oインターフェースに必要な安全絶縁

多くの場合、IPCのメーカーは外部インターフェースに安全絶縁を適用します。その目的は、以下のとおりです。

• 危険な電圧からオペレータを保護する
• システム・レベルの協調的な絶縁をシンプルに実現する
• サード・パーティ製の機器との接続をプラグ＆プレイで行えるようにする

以下では、主に安全絶縁について詳しく説明します。

オペレータの保護

危険な電圧は、システムが通常の動作を行っている場合にも、障害が生じた場合にも発生する可能性があります。その電圧からオペレータを保護するための方法として絶縁は不可欠です。

IEC 61010-1によれば、単一故障が発生した状態で人が触れる部分に50Vrms以上のAC電圧または120V以上のDC電圧が発生した場合、その部分には危険な電圧が生じていると見なされます。通常動作時にも単一故障の発生時にも、このような危険な電圧からオペレータを保護しなければなりません。なお、単一故障が発生している状態とは、1つの保護手段(MOP:Means of Protection)が故障している状態、または危険な状況につながる可能性がある1つの故障が存在する状態のことを指します。

通常、上記の要件を満たすためには、二重絶縁(基礎絶縁と追加絶縁)または強化絶縁を適用する必要があります(図2)。

• 

  図2. 危険な部分と接触が可能な部分の間に適用できる保護用の手段

システムのアーキテクチャの最適化、サード・パーティ製機器との統合の簡素化

安全絶縁を導入する目的は、オペレータを保護することだけではありません。ここでは、システムのアーキテクチャを最適化する方法やサード・パーティ製の機器との統合を簡素化する方法について解説します。

システム・レベルの絶縁の最適化

外部インターフェースに戦略的に絶縁を施すことにより、システム内の他の個所における絶縁の要件を簡素化することができます。例えば、ユーザが触れるインターフェースに強化絶縁バリアを実装するとします。そうすると、そのアーキテクチャ全体を見た場合、危険な場所から接触部までの経路には独立した2つの保護手段が直列に存在することが保証されるとしましょう。その場合、上流側の電源部には基礎絶縁を適用するだけでよい可能性があります。なぜなら、独立した2つの絶縁バリアを組み合わせることにより、二重絶縁が実現されるからです。つまり、単一故障の状態や危険な電圧から効果的にオペレータを保護できることになります。

I/Oインターフェースに必要な安全絶縁産業用フロント・エンド向けのスマートな絶縁アーキテクチャ

上述したのと同様の最適化は、機能絶縁(レベル・シフトや高いコモン・モード電圧耐性への対応)と安全絶縁の両方が求められる産業用のデータ・アクイジション・システムにも適用できます。

仮に、測定用の各チャンネルに強化絶縁を実装するとしたら、サイズ、コスト、複雑さが増大します。そこで、単一の強化絶縁バリアを上流に配置することにします。そうすれば、データ・アクイジション・システムのフロント・エンドをシステムの他の部分から分離できます。結果として、各チャンネルに必要なのは、レベル・シフトとハイ・サイドの測定機能を対象とする機能絶縁だけになります。このアーキテクチャを採用すれば、システム・レベルで強化絶縁を施しつつ、各チャンネルの複雑さとコストを低減できます。最終的な構造は、チャンネルのアレイの後方に位置する1つの強化絶縁バリアと、それを補完するチャンネルごとの機能絶縁バリアから成ります。つまり、実装面積とコストの面で効率の良い設計によって、安全性、レベル・シフト、チャンネル間の絶縁を実現できます。

市販のペリフェラルをプラグ＆プレイで統合する

ここでは、IPCまたは医療用のPCのインターフェース(HDMIやUSBのポートなど)に安全絶縁を施すケースを考えます。そうすると、市販のモニタや民生用の機器を使用しつつ、システム全体をIEC 61010-1/IEC 60601-1に準拠させることができます。接続された機器自体はそれらの規格に準拠していなくても構いません。外付けの機器は潜在的に安全ではないものとして扱われ、安全に関する要件を満たす絶縁バリアを介して、システムの内部で必要とされる保護機能が実装されることになります。このアプローチを採用すれば、現場での統合が簡素化されます。それだけでなく、真のプラグ＆プレイに対応できます。さらに、ヒューマン・エラーに対する機器の堅牢性が向上します。

沿面距離/空間距離/絶縁電圧の要件を定める

安全規格は、絶縁バリアの空間距離、沿面距離、絶縁耐圧の最小値、構造上の要件について規定しています。これらの値は、絶縁の種類(機能絶縁、基礎絶縁、追加絶縁、強化絶縁)と定格の動作条件に基づいて決定されます。

以下では、準拠すべき安全規格とシステムのアーキテクチャを考慮し、医療用のPCとIPCに必要な沿面距離と空間距離の要件を算出する方法について説明します。具体的には、IEC 60601-1、IEC 61010-1に従い、各パラメータの値(最小値)を算出する方法の詳細を明らかにします。

医療用PCに求められる値の算出

まずはIEC 60601-1に基づいて、医療用PCに求められる沿面距離、空間距離、絶縁電圧の要件を決定します。これらのうち、沿面距離と空間距離の値は、主電源の電圧と絶縁の種類(基礎絶縁または強化絶縁。1 MOPPまたは2 MOPPとも呼ばれる)に依存します。IEC 60601-1に掲載されている表を見ると、これらの距離が規定されています。例えば、250Vrmsの主電源に接続されるシステムでは、絶縁型のインターフェースに2 MOPPが求められる場合、必要な沿面距離と空間距離は8mmになります(表1)。

• 

  表1:患者を保護するための最小沿面距離

IEC 60601-1に基づく絶縁電圧の要件は、絶縁耐圧試験によって定義されます。この試験で1分間にわたり適用する電圧の値は、主電源の電圧、回路の分類(主電源を使用する回路か2次回路か)、要求される絶縁レベル(1 MOPPか2 MOPPか)によって異なります。これらの要件は、同規格に掲載されている表によって規定されています。例えば、250Vrmsの主電源に接続される機器において、主電源部とユーザが接触可能な回路、または主電源部と患者に接続される回路との間に2 MOPPが求められるとします。その場合、必要な絶縁耐圧試験の電圧は4kVrms(1分間)です。なお、1 MOPPが求められる機器の場合、同試験の電圧は1.5kVrmsとなります(表2)。

• 

  表2:主電源部から保護する手段を実現する固体絶縁の試験電圧

IPCに求められる値の算出

続いて、IEC 61010-1に基づき、IPCに求められる沿面距離、空間距離、絶縁電圧の要件を決定します。その場合、沿面距離と空間距離の要件は以下のパラメータに依存します。

• 過電圧カテゴリ(OVC:Overvoltage Category)
• 主電源の定格電圧
• 汚染度(PD:Pollution Degree)
• 材料グループ(パッケージまたはプリント基板の材料のグループ)
• 絶縁の種類(基礎絶縁か強化絶縁か)

IEC 61010-1に掲載されている表には、主電源の電圧が150Vrmsまたは1250Vrmsの場合に適用される沿面距離と空間距離の値が定義されています。強化絶縁が必要な場合、沿面距離は、基礎絶縁が必要な場合の値の2倍になります。例として、OVC II、PD IIの環境に設置されるシステムについて考えます。そのシステムには主電源から250Vrmsの電圧が供給されるとしましょう。そして、USBのインターフェースには強化絶縁が求められるとします。その場合、絶縁材料が材料グループIに分類されるとしたら、必要な沿面距離は3.0mmになります。この距離は、基礎絶縁の要件である1.5mmの2倍に相当します。また、絶縁材料が材料グループIIに分類される場合には、必要な最小沿面距離は4.2mmになります(表3)。

• 

  表3:OVC II,最大300Vの主電源回路に基礎絶縁が求められる場合の沿面距離と空間距離

IEC 61010-1において、必要な絶縁電圧(絶縁耐圧)は、以下のパラメータに依存します。

• OVC
• 主電源の定格電圧
• 絶縁の種類(基礎絶縁か強化絶縁か)

例として主電源の定格電圧が最大300Vの機器が、OVC IIの環境に設置されるケースを考えます。その場合に適用される絶縁耐圧試験の電圧(1分間)はIEC 61010-1の表で定められています。250Vrmsの主電源を使用し、インターフェースに強化絶縁を適用することが求められる場合、絶縁耐圧試験で印加する電圧は最小で3kVrms(1分間)になります(表4)。

• 

  表4:OVC II,最大300Vの主電源回路に固体絶縁が求められる場合の試験電圧

まとめ

本稿では、まず一般的なIPCのアーキテクチャについて概説しました。続いて、ユーザが触れる可能性があるI/Oが安全絶縁の対象になることが多い理由を説明しました。その上で、主にIEC 60601-1とIEC 61010-1を対象として、信頼性の高いプラグ＆プレイ・システムのアーキテクチャを実現するためには何が必要なのかを明らかにしました。さらに、絶縁の種類(基礎絶縁、追加絶縁/二重絶縁、強化絶縁。該当する場合は1 MOPP/2 MOPP)を、インターフェースに求められる要件である沿面距離/空間距離/絶縁耐圧に変換するための実践的なアプローチを提示しました。

本記事はAnalog Devicesの技術記事「Designing for Safety and Immunity—Part 1: Safety Isolation Principles in Industrial PC Interfaces」を翻訳・改編したものとなります