欧州委員会ガイダンス 第2.3版（2024年4月） ／ 附属書I 機械の設計及び製造に関する必須安全衛生要件の解説
§184 1.2.1. 制御システムの安全性と信頼性
§184 — Safety and reliability of control systems
欧州委員会が公表する公式ガイダンス第2.3版（2024年4月）の参考訳です。ガイドは法的拘束力を持たず、疑義がある場合は英語版が基準となります。色付きの枠は指令本文の引用、それ以外が欧州委員会の解説です。
1.2. 制御システム
1.2 CONTROL SYSTEMS
1.2.1. 制御システムの安全性と信頼性
1.2.1 Safety and reliability of control systems
制御システムは、危険な状況が生じることを防止するよう設計及び製造されなければならない。とりわけ、制御システムは、次のように設計及び製造されなければならない。
Control systems must be designed and constructed in such a way as to prevent hazardous situations from arising. Above all, they must be designed and constructed in such a way that:
意図された運転上の応力及び外部からの影響に耐えることができること
they can withstand the intended operating stresses and external influences,
制御システムのハードウェア又はソフトウェアの故障が危険な状況につながらないこと
a fault in the hardware or the software of the control system does not lead to hazardous situations,
制御システムのロジックの誤りが危険な状況につながらないこと
errors in the control system logic do not lead to hazardous situations,
運転中の合理的に予見可能な人的ミスが危険な状況につながらないこと
reasonably foreseeable human error during operation does not lead to hazardous situations.
次の点に特に注意を払わなければならない。
Particular attention must be given to the following points:
機械が予期せず起動してはならないこと
the machinery must not start unexpectedly,
機械のパラメータが、制御されない方法で変化し、その変化が危険な状況につながりうる場合には、そうなってはならないこと
the parameters of the machinery must not change in an uncontrolled way, where such change may lead to hazardous situations,
停止指令がすでに与えられている場合に、機械の停止が妨げられてはならないこと
the machinery must not be prevented from stopping if the stop command has already been given,
機械の可動部分又は機械が保持している加工物が落下し、又は放出されてはならないこと
no moving part of the machinery or piece held by the machinery must fall or be ejected,
いかなる可動部分であっても、その自動又は手動による停止が妨げられてはならないこと
automatic or manual stopping of the moving parts, whatever they may be, must be unimpeded,
保護装置は完全に有効な状態を維持し、又は停止指令を与えなければならないこと
the protective devices must remain fully effective or give a stop command,
制御システムの安全関連部は、機械及び／又は半完成機械の組立品全体に一貫した方法で適用されなければならないこと
the safety-related parts of the control system must apply in a coherent way to the whole of an assembly of machinery and/or partly completed machinery.
ケーブルレス制御の場合、通信の喪失を含め、正しい制御信号が受信されないときは、自動停止が作動しなければならない。
For cable-less control, an automatic stop must be activated when correct control signals are not received, including loss of communication.
機械の制御システムとは、機械の部品、操作者、外部制御機器又はこれらのあらゆる組合せからの入力信号に応答し、対応する出力信号を機械のアクチュエータに生成して、機械を意図されたとおりに動作させるシステムである。制御システムは、例えば機械式、油圧式、空気圧式、電気式又は電子式の技術のような様々な技術又は技術の組合せを使用することができる。プログラム可能な電子制御システムの使用は、指令の発効以来はるかに一般的になってきており、現在もそうである。
The control system of machinery is the system which responds to input signals from parts of the machinery, from operators, from external control equipment or any combination of these and generates corresponding output signals to the machinery actuators, causing the machine to perform in the intended manner. Control systems can use different technologies or combinations of technologies such as, for example, mechanical, hydraulic, pneumatic, electric, or electronic technologies. The use of electronic control systems that are programmable have been and are now much more common since the Directive came into force.
機械の安全かつ信頼性のある機能を確保するための制御システムの設計及び製造は、機械全体の安全を確保する上で重要な要素である。操作者は、機械が常に安全かつ期待どおりに機能することを確保できなければならない。
The design and construction of the control system in order to ensure safe and reliable functioning of the machinery are key factors in ensuring the safety of the machinery as a whole. Operators must be able to ensure that the machinery functions safely and as expected at all times.
セクション1.2.1に定める要件は、故障又は不具合の場合に機械の意図しない又は予期しない挙動による危険源をもたらしうる制御システムのすべての部分に適用される。これらの要件は、例えばガードのインターロック装置及びガードロック装置、保護装置又は非常停止制御に関連する制御システムの部分のような、安全機能に関連する制御システムの部分の設計及び製造にとって特に重要である。制御システムの安全関連部の故障は、対応する安全機能が次に作動を求められる際に危険状態を生じさせるおそれがあるためである。一定の安全機能は、例えば両手始動制御装置のように、運転上の機能でもありうる。
The requirements set out in section 1.2.1 apply to all parts of the control system that, in the event of a fault or a failure, can lead to hazards due to unintended or unexpected behaviour of the machinery. They are of particular importance for the design and construction of the parts of the control system related to safety functions such as, for example, the parts of the control system related to interlocking and guard-locking devices for guards, to protective devices or to emergency stop controls, since a failure of safety related parts of the control system is liable to give rise to a hazardous situation when the corresponding safety function is next required to operate. Certain safety functions may also be operational functions, such as, for example, a two-hand start control device.
セクション1.2.1第1段落及びその4つのダッシュは、制御システムの信頼性及び安全に関する基本的な要件を定めている。セクション1.2.1第2段落及びその7つのダッシュは、避けなければならない主な危険事象及び危険状態を記述している。
The first paragraph of section 1.2.1 and its 4 indents set out the basic requirements for the reliability and safety of control systems. The second paragraph of section 1.2.1 and its 7 indents describe the main hazardous events and situations that must be avoided.
セクション1.2.1第1段落第1ダッシュによれば、制御システムは、予見可能な異常な状況を考慮して、意図された運転上の応力及び外部の影響に耐えることができなければならない――§160：一般原則2に関する解説、及び§175：セクション1.1.2(c)に関する解説を参照。したがって、制御システムは、例えば衝撃、振動及び摩耗のような、機械自体の運転又はその環境により生じる機械的影響に耐えることができなければならない。制御システムは、例えば湿度、極端な温度、腐食性雰囲気及び粉じんのような、機械が機能することを意図した内部及び外部の条件の影響に耐えることができなければならない。制御システムの正しい機能は、機械自体の部分により生じるか、機械が使用されることを意図した条件における外部要素により生じるかを問わず、電磁放射の影響を受けてはならない――§233：セクション1.5.11に関する解説を参照。
According to the first indent of the first paragraph of section 1.2.1, control systems must be able to withstand intended operating stresses and external influences, taking into account foreseeable abnormal situations – see §160: comments on General Principle 2, and §175: comments on section 1.1.2 (c). The control system must thus be able to withstand the mechanical effects generated by operation of the machinery itself or by its environment such as, for example, shocks, vibrations, and abrasion. Control systems must be able to withstand the effects of the internal and external conditions under which the machinery is intended to function such as, for example, humidity, extreme temperatures, corrosive atmospheres and dust. The correct functioning of control systems must not be affected by electromagnetic radiation, whether generated by parts of the machinery itself or by external elements in the conditions in which the machinery is intended to be used – see §233: comments on section 1.5.11.
セクション1.2.1第1段落第2及び第3ダッシュは、ハードウェア又はソフトウェアの故障又はエラーの場合における制御システムの挙動を扱っている。これらの要件は、例えば機械式、油圧式、空気圧式若しくは電気式の構成部品の故障、又はプログラマブルシステムのソフトウェアのエラーにより、制御システムに故障が生じる可能性を考慮したものである。制御システムは、当該故障又はエラーが生じた場合に、セクション1.2.1第2段落に記述するような危険状態につながらないよう設計及び製造されなければならない――§205：セクション1.2.6に関する解説も参照。
The second and third indents of the first paragraph of section 1.2.1 deal with the behaviour of the control system in case of a fault or error in the hardware or software. These requirements take account of the possibility of faults occurring in the control system due, for example, to the failure of a mechanical, hydraulic, pneumatic or electrical component or to an error in the software of a programmable system. Control systems must be designed and constructed so that, if such faults or errors occur, they do not lead to hazardous situations such as those described in the second paragraph of section 1.2.1 – see also §205: comments on section 1.2.6.
機械の危険な機能は、例えば、機能を停止すること、機能から動力を除去すること、又は機能の危険な動作を防止することにより制御下に置くことができる。例えば冗長構成により、故障又は不具合の発生にもかかわらず機械の関連する機能が継続できる場合には、安全状態を達成し又は維持するために必要な措置をとることができるよう、故障又は不具合を検出する手段がなければならない。
The hazardous functions of the machinery can be brought under control, for example, by stopping the function, removing power from the function or preventing the hazardous action of the function. If the relevant functions of the machinery are able to continue despite the occurrence of a fault or a failure, for example, by means of a redundant architecture, there must be a means of detecting the fault or failure so that the necessary action can be taken to achieve or maintain a safe state.
この要件を満たすために使用すべき手段は、制御システムの種類、関係する制御システムの部分及びその故障の場合に生じうるリスクに依存する。
The means to be used to fulfil this requirement depend on the type of control system, on the part of the control system concerned and on the risks that could arise in case of its failure.
使用できる考え方には次のものがある。
The concepts that can be used include:
特に信頼性の高い構成部品を使用し、例えばある構成部品が他の構成部品に確実な機械的作用を及ぼすという原則のような、十分に実証された安全原則を適用することにより、安全機能に影響を及ぼしうる故障又は不具合の確率を排除し又は低減すること
The exclusion or reduction of the probability of faults or failures which may affect the safety function by recourse to particularly reliable components and by applying well-tried safety principles, such as, for example, the principle of the positive mechanical action of a component on another component;
標準的な構成部品を使用し、制御システムにより適切な間隔で安全機能を確認すること
The use of standard components with a check on the safety functions at suitable intervals by the control system;
単一の故障又は不具合が安全機能の喪失につながらないよう、制御システムの部分を冗長化すること。共通原因故障を避けるため、冗長要素の技術的多様性を利用することができる。
The redundancy of parts of the control system such that a single fault or failure does not lead to the loss of the safety function. Technical diversity of the redundant elements can be used to avoid common cause failures;
故障又は不具合が検出され、関係するリスクを防止するために必要な保護方策が開始されることを確保するための自動監視。保護方策には、危険なプロセスの停止、当該プロセスの再始動の防止又は警報の作動が含まれうる。
Automatic monitoring to ensure that faults or failures are detected and that the necessary protective measures are initiated to prevent the risk concerned. The protective measures may include the stopping of the hazardous process, preventing the re-start of this process or the triggering of an alarm.
これらの考え方は様々な組合せで適用することができる。
These concepts can be applied in different combinations.
制御システムの所定の安全関連部に求められる性能レベルは、安全機能が対象とするリスクのレベルに依存し、製造者のリスクアセスメントに基づいて決定されなければならない。特定のカテゴリーの機械に関するC規格は、制御システムの様々な安全関連部に求められる性能レベルに関するガイダンスを提供している。
The level of performance required for a given safety related part of the control system depends on the level of the risk for which the safety function is intended and is to be determined on the basis of the manufacturer's risk assessment. C-type standards for particular categories of machinery provide guidance on the level of performance required for the different safety related parts of the control system.
制御システムの安全関連部について求められる性能レベルの達成は、当該システムのハードウェア及びソフトウェアの双方の側面を考慮して、妥当性確認されなければならない。
The achievement of the required level of performance for safety related parts of control systems must be validated, taking account both of the hardware and software aspects of such systems.
制御システムの安全関連部の設計に関する仕様は、規格EN ISO 13849-1及び規格EN 62061に示されている。
Specifications for the design of safety-related parts of control systems are given in standards EN ISO 13849-1 and standard EN 62061.
セクション1.2.1第1段落第4ダッシュは、運転中の合理的に予見可能な人的エラーを扱っている。この要件を満たすため、制御システムは、可能な限りエラー許容性をもって設計されなければならない。これには、エラーの検出、及びエラーの修正を容易にするため操作者に適切なフィードバックを提供することのような措置が含まれる。
The fourth indent of the first paragraph of section 1.2.1 deals with reasonably foreseeable human error during operation. In order to satisfy this requirement, control systems must, as far as possible, be designed with error tolerance. This involves measures such as the detection of errors and providing appropriate feedback to the operator to facilitate the correction of errors.
操作者のエラーを最小化するための機械との人間の相互作用に関する一般原則は、規格EN 894-1に示されている。
General principles for human interaction with machinery to minimise operator errors are given in standard EN 894-1.
セクション1.2.1第3段落は、例えば無線、光又はソナー信号を使用する遠隔制御システムのような、ケーブルレス制御システムに関連する特定の危険源、すなわち、制御装置と制御される機械との間の誤った信号又は通信の喪失を対象としている。セクション3.3は、移動式機械の遠隔制御システムについて補足要件を定めていることに留意すべきである。
The third paragraph of section 1.2.1 covers a particular hazard associated with cable- less control systems, such as, for example, remote control systems using radio, optical or sonar signals: incorrect signals or loss of communication between the control devices and the machinery to be controlled. It should be noted that section 3.3 provides supplementary requirements for remote control systems for mobile machinery.
1.2.2. 制御装置
1.2.2 Control devices
設計のための一般原則（ISO 13849-1:2006）
General principles for design (ISO 13849-1:2006).
電気・電子及びプログラマブル電子制御システム（IEC 62061:2005+A2:2015）
electronic and programmable electronic control systems (IEC 62061:2005+A2:2015).
及び制御アクチュエータ――パート1：表示器及び制御アクチュエータとの人間の相互作用のための一般原則
and control actuators - Part 1: General principles for human interactions with displays and control actuators.