より安全性の高いモーター・ドライブを構築する - 安全性を確保するためのSTOのアーキテクチャ

はじめに

機能安全はモーター・ドライブにとって不可欠な概念です。モーター・ドライブは機械的なエネルギーを直接制御します。そのため、同ドライブに障害が発生した場合には、重傷者が出るレベルの事故、機器の損傷、工程の中断が引き起こされる可能性があります。製造、ロボット、資材の運搬といった産業分野のアプリケーションにおいて、モーター・ドライブは必須の要素です。緊急停止、保守時のアクセス、制御システムの故障といった事象が発生した場合には、それらのモーター・ドライブが確実に安全な状態へ移行するようにしなければなりません。

モーター・ドライブは、危険な状態に対応できるように設計する必要があります。具体的には、定義済みの安全機能が確実かつ予測どおりに動作するようにしなければなりません。モーター・ドライブにおける機能安全とは、主にその動作を保証できるようにすることを意味します。IEC 61800-5-2に準拠するモーター・ドライブの場合、機能安全によって高い信頼性でモーターを安全な状態に移行させられるはずです。例えば、安全性の確保が要求される事態が発生した場合、トルクを発生させる電力の遮断、制御された方法による停止、安全性を確保するための動作の制限などが働くことになります¹⁾。

モーター・ドライブを使用するアプリケーション向けに安全関連システム(SRS:Safety-Related System)を設計/開発する場合、主に3つの重要な事柄について考慮する必要があります。3つの事柄とは、システマティック・インテグリティ、アーキテクチャ上の制約、障害を検出した際のシステムの挙動のことです。

システマティック・インテグリティは、安全関連システムの設計/開発に伴うリスクにどれだけ対処できるのかを表す指標です。システマティック・インテグリティを確保するには、設計手法や品質管理の不備によってシステマティック故障が発生する可能性を低減するための手法や対策を適用する必要があります。

アーキテクチャ上の制約については、安全関連可変速駆動システム(PDS(SR):Safety-related Power Drive System)の場合、次の点が重要になります。それは、モーター・ドライブのハードウェア・アーキテクチャは、定義されたレベルのフォルト・トレランスと診断機能を備えていなければならないというものです。それらは、主張したい安全度水準(SIL:Safety Integrity Level)またはパフォーマンス・レベル(PL:Performance Level)に見合っている必要があります。

障害を検出した際のシステムの挙動については、次のように考える必要があります。PDS(SR)は、危険側故障を検出した際、安全機能がモーター・ドライブを安全な状態に移行させるための時間を十分に確保できるように実装しなければなりません。障害の検出は、安全に関連するハードウェア、信号の経路、出力を継続的または定期的に監視/診断することによって行います。その診断では、不一致の発生、機能の喪失、内部故障などが生じていないかどうかを監視します。

本稿では、モーター・ドライブの機能安全に向けた規格に準拠するための実践的なアプローチを紹介します。そのために必要なシステム・アーキテクチャやコンポーネント・レベルの安全性の立証などについて解説します。具体的には、IEC 61800-5-2、IEC 62061、ISO 13849-1に準拠し、SIL 3/PLeを目標とするモーター・ドライブの安全性を確保するための考え方について説明します。特に、安全機能としてセーフ・トルク・オフ(STO:Safe Torque Off)を実装する場合に、アーキテクチャにおいて制約になる事柄や障害の検出方法に注目します。その上で、SILへの対応を見据えた開発フローについて説明します。それに従えば、回路設計上の選択と主な安全指標を関連づけ、認証にかかわるリスクを低減し、TTMを短縮することが可能になります。

STOとは何か？

STOというのは、IEC 61800-5-2で定義された安全サブ機能の名称です。この機能は、非常停止ボタンが押された場合など、安全にかかわる事象が生じると起動します。IEC 61800-5-2では、STOを「力を生み出す電力をモーターに供給することを遮る機能」と定義しています¹⁾。一般に、STOは、モーター・ドライブ回路のゲート・ドライバ段においてパルスまたは電力を遮断する機能として実装されます。図1に示すように、STOが作動すると、インバータ段のMOSFET(またはIGBTなど)がオフになり、モーターの各相には電流が流れなくなります。その結果、モーターは制御された減速を行うことなく惰性停止します。この動作は、IEC 60204-1では停止カテゴリ0として定義されています²⁾。

図1. IEC 61800-5-2におけるSTOの概念

STOは、単一の障害が存在する場合でも動作するように設計します。そのためには、ハードウェア・フォルト・トレランス(HFT:Hardware Fault Tolerance)が1になるように安全回路を実装する必要があります。それにより、障害を検出するための適切な診断機能を備えたハードウェアの冗長性が確保されます。この冗長性により、単一の障害が発生しても安全機能が損なわれることはなくなります。そして、システムの診断メカニズムによってその障害が検出され、対応を図ることが可能になります。

STO用の回路の構成

図2に示したのは、モーター・ドライブの安全を確保するためのSTOの実装例です。この回路は、フィードバック機構を備えるデュアルチャンネルのアーキテクチャによって構成されています。具体的には、STO A、STO Bという2つの独立した安全経路(安全を確保するための経路)を設けています。それにより、単一の障害によって安全機能が損なわれることを防ぎます。STO Aは、絶縁型ゲート・ドライバを駆動するパルス幅変調(PWM:Pulse Width Modulation)信号を遮断することでトルクの発生を防ぎます。それにより、インバータのパワー・デバイスのスイッチングを直接的に停止するということです。それと並行して、別の経路であるSTO Bも機能します。その役割は、障害が発生した際にトランス用のドライバの機能を停止することです。それにより、ゲート・ドライバとデジタル・アイソレータの2次側電源(VDD2)が遮断されます。結果として、デジタル・アイソレータは強制的に既知の安全な状態(デフォルトの状態)に移行します。これは、ゲート・ドライブのコマンドが意図せずにアサートされるのを防止するということを意味します。

図2. モーター・ドライブの安全を確保するためのSTOの実装例。フィードバック機構を備えるデュアルチャンネルのアーキテクチャを採用しています。「MAX22256」、「ADuM4122」、「ADuM320N」、「MAX7301」を使用して構成しました

また、この回路には、診断用のフィードバック機能も組み込まれています。この機能は、安全性の立証や障害の検出に不可欠なものです。STO Bがアクティブになった場合、システムは、デジタル・アイソレータのデフォルトのロジックを監視することで、モーターの各相(U、V、W)に対応する安全経路の状態を評価できます。このフィードバック機能により、STOの回路自体の故障を検出することが可能になります。その結果、機能安全において高いSILを主張するために必要な診断カバレッジが得られます。

STOをはじめとするモーター・ドライブ用の安全機能は、高頻度作動要求モードまたは連続モードで動作します。そのため、システムの主要な安全指標としては、危険側故障の1時間当たりの平均確率(PFH:Probability of Dangerous Failure per Hour)、安全側故障割合(SFF:Safe Failure Fraction)、HFTが使用されます。

PFHは、ドライバの安全機能の作動が要求された際、安全な状態への移行に失敗する1時間当たりの確率を表します。個々の安全機能では、PFHが表1に示す目標値を満たすようにする必要があります。例えば、SIL 3の安全機能の場合、PFHの値を10^-7未満に抑えなければなりません。

表1

図2に示した冗長性を備えたアーキテクチャは、HFTと診断カバレッジを組み合わせることで、IEC 61508³⁾とIEC 61800-5-2で定められたアーキテクチャの制約を満たすことができます。冗長化された安全経路は、単一のハードウェア障害に対する耐性を実現します。また、診断機能も統合されていることから、危険側故障を検出して安全な状態への移行を開始することでSFFが向上します。ここで表2をご覧ください。これを見ると、タイプBのサブシステムにおける最高のSILはHFTとSFFによって制限されることがわかります。例えば、HFTが1でSFFが90％以上である場合、SILは最高でもSIL 3に制限されます。

表2

コンポーネントのレベルの故障確率によっては、安全機能の正常な動作が妨げられる可能性があります。そこで、コンポーネント・レベルの故障を抑止するために、いくつかのリスク低減手法が適用されることがあります。例えば、信頼性の高いコンポーネントの選定や障害の除外などが必要になるということです。ISO 13849-2:2012⁴⁾とIEC 61800-5-2には、考慮することができる障害の除外についてまとめたリストが掲載されています。ここで、障害の除外には、明確な安全性の立証とドキュメント化が求められます。その一例としては、ドライブ内で使用される信号絶縁用のコンポーネントの絶縁バリアをまたぐ短絡(IEC 61800-5-2の附属書D)が挙げられます。

STOのシステマティック・インテグリティは、ハードウェアの設計/開発時にシステマティック故障が作り込まれるのを防ぐために、確立されたライフサイクルと設計上の方策を適用することによって確保します。そのライフサイクルには、モーター・ドライブ向けの安全サブ機能について、計画、安全要求仕様の策定、設計、実装、統合、妥当性確認を行うために必要な体系的な活動が含まれます。IEC 61800-5-2では、IEC 61508の枠組みに沿って、機能安全に関する製品に固有のライフサイクルをPDS(SR)向けに定義しています。

このアプローチは、重要な効果をもたらします。それは、最新の安全規格に準拠したアプリケーションを実現できるというものです。それにより、機能安全への適合性を確保しながら、安全について事前に検証済みのソリューションをモーター・ドライブに統合することが可能になります。結果として、認証に関するリスク、設計/開発の工数、Time to Market(TTM)を大幅に削減できます。

STOのアーキテクチャに必要な絶縁ソリューション

モーター・ドライブには、安全性を確保するためのアーキテクチャが必要です。その基盤になる技術がガルバニック絶縁です。STOの実装においては、安全に関連する制御信号を危険な電源領域から確実に分離しなければなりません。そのため、ガルバニック絶縁が特に重要になります。インバータをベースとするモーター・ドライブでは、低電圧を使用する制御/診断回路と高電圧を使用するパワー段のスイッチング回路を電気的に分離するために絶縁を使用します。この分離によって、安全に関連する電子回路が保護されます。また、定義された安全な状態へ移行する際の動作がデタミニスティックなものになります。

STOのアーキテクチャ内において、絶縁は安全機能に位置づけられるわけではありません。また、単独で機能安全の認証を取得する性質のものでもありません。絶縁は、より広範なシステム・レベルの安全設計の一部です。冗長性や、診断機能、安全に関連するロジックを組み合わせて、目標とする安全性能を達成するために使用されます。したがって、SIL 3やPLeといった安全度水準は、個々のコンポーネントに対してではなく、アーキテクチャ全体に対して規定されます。

STOのアプリケーションにおける絶縁については重要な要件があります。それは、電源が喪失した際や障害が発生した際にも、その動作が予測可能であることです。図2に示したデュアルチャンネルのアーキテクチャをもう一度ご覧ください。この回路では、2次側の電源を遮断するという強制的な手段により、絶縁インタフェースと下流のゲート・ドライブ回路が既知の非導通の状態に移行します。このデタミニスティックな振る舞いによって、制御領域内で障害が発生した場合でも、トルクを発生させる信号が意図せずにアサートされるのを確実に防ぐことができます。これにより、検証が可能な安全な状態を定義できます。

また、絶縁を適用すれば、システム・レベルの効果的な診断が可能になります。例えば、STOの経路がアサートされた際、安全に関連するロジックが、絶縁された信号のデフォルトの状態を監視できるようにします。そうすると、固着障害、ドライブ能力の喪失、電源領域の障害などの状態を検出することが可能になります。アイソレータは診断機能を備えているわけではありません。しかし、電源が喪失した際の動作が規定されているので、アーキテクチャ・レベルで診断カバレッジを確保できます。

さらに、絶縁を施すことは、一般的な外乱に対する堅牢性の向上につながります。モーター・ドライブの場合、dv/dtの高いスイッチング、コモン・モードの大きなトランジェント、電磁干渉といった外乱にさらされる可能性があります。そのような条件下でも、過渡耐性が高く、伝搬特性が制御されている絶縁バリアは、デタミニスティックな信号の挙動を維持することに貢献します。つまり、ノイズに起因する誤動作のリスクが低減されます。表3は、コモン・モード過渡耐性(CMTI:Common-mode Transient Immunity)など、モーター・ドライブに適用される主要な絶縁仕様についてまとめたものです。

表3

機能安全の枠組みにおいて、絶縁特性は自動的に安全性を立証するための根拠になるわけではありません。そうではなく、裏付けとなる証拠として扱われます。電気的な定格や絶縁の振る舞いについては、安全設計全体の中で評価する必要があります。絶縁バリアをまたぐ障害の除外については、体系的にその妥当性を立証しなければなりません。

まとめ

モーター・ドライブ向けに高い安全度を備えたSTOを実現するには、何よりもアーキテクチャの設計が重要です。

安全性の確保が必要になる事態が発生した際には、安全機能を動作させなければなりません。モーター・ドライブの場合、トルクを発生させる電力がモーターに供給されるのを確実に防ぐ必要があります。その結果、制御された減速を伴わない停止カテゴリ0の惰性停止が実現されます。

本稿では、STOを実現するためのデュアルチャンネルのアーキテクチャを紹介しました。その回路には、独立した遮断経路とフィードバックを利用した診断機能が実装されています。それにより、単一の障害が原因で安全機能が損なわれないようにするために必要なHFT = 1が実現されます。また、SFFが向上し、PFHがSIL 3/PLeに要求されるレベルまで低減されます。このアーキテクチャの基盤になるのは、ガルバニック絶縁です。ガルバニック絶縁により、安全関連の制御/診断回路から危険な電源領域を分離できます。加えて、電源が喪失した際にもデタミニスティックな挙動を維持することが可能になります。ただし、絶縁自体は安全機能に相当するものではありません。機能安全の裏付けとなる証拠として扱われます。

本記事はAnalog DevicesのTECHNICAL ARTICLE「Building Safer Motor Drives—Part 1: STO Safety Architectures」を翻訳・改編したものとなります

参考資料

1) IEC 61800-5-2 Adjustable Speed Electrical Power Drive Systems - Part 5-2: Safety Requirements - Functional(IEC 61800-5-2 可変速駆動システム - 第5-2部:安全要求事項 - 機能安全)、2016年4月
2) IEC 60204-1 Safety of Machinery - Electrical Equipment of Machines. Part 1: General Requirements(IEC 60204-1 機械類の安全性 - 機械の電気機器 - 第1部:一般要求事項)、2016年10月
3) IEC 61508 Functional Safety of Electrical/Electronic/Programmable Electronic Safety-Related Systems(IEC 61508 電気・電子・プログラマブル電子安全関連系の機能安全)、2010年4月
4) ISO 13849-2:2012 Safety of Machinery. Safety-Related Part of Control Systems Validation(ISO 13849-2:2012 機械類の安全性 - 制御システムの安全関連部 - 妥当性確認)、2012年10月