産業向け機能安全に対応する電源の設計【Part 2】システマティック故障／ランダム故障を排除し、安全性の高い電源を構築

×

Figure 1

   

要約

本稿は、連載記事「産業向け機能安全に対応する電源の設計」の2回目（Part 2）です。今回は、安全関連システム（SRS：Safety-related System）が安全な状態に移行することを妨げる2種類の故障について説明します。具体的には、システマティック故障とランダム・ハードウェア故障（ランダム故障）の概要と、両故障の重要な違いについて詳しく解説します。それを通して、安全性を考慮した電源を設計するためには、なぜ基本的な機能安全規格に準拠すべきなのかを明らかにします。システマティック故障はデタミニスティックなものであり、ハードウェアでもソフトウェアでも生じる可能性があります。同故障は、コンポーネントのディレーティング、堅牢性に優れる過電圧保護、電源の適切な監視といったプロアクティブな設計によって排除しなければなりません。一方、ランダム・ハードウェア故障はコンポーネントの劣化メカニズムに起因して発生します。同故障は、診断機能やアーキテクチャを適切に設計することによって制御することが可能です。また、同故障は主に故障モード影響診断分析（FMEDA：Failure Modes, Effects, and Diagnostics Analysis）によって定量化されます。重要なのは、システマティック故障とランダム・ハードウェア故障の両方を効果的に管理することです。つまり、システマティック故障につながる弱点を排除し、ランダム・ハードウェア故障を制御することが肝要です。それらは、求められる安全度水準（SIL：Safety Integrity Level）を満たす上で不可欠なことだと言えます。

はじめに

前回（本連載のPart 1）は、機能安全（FS：Functional Safety）を実現するためにIEC 61508が電源について求める要件について説明しました。今回は、システマティック故障の排除とランダム・ハードウェア故障の制御について解説します。その上で、IEC 61508で示された原則を適用して安全な電源を設計するための知見を提供します。

IEC 61508についてのおさらい

安全性を重視したシステムを実現するためには、機能安全規格で定められている要件を把握する必要があります。それに加えて、安全関連システムを起動する際、システムが安全な状態に移行するのを妨げるおそれがある故障の種類について理解しておかなければなりません。そのことが、安全性を重視した電源の設計にもつながります。

安全機能を用意しておけば、危険な状況を回避するための能動的な動作を実現できます。あるいは、安全な状態を維持するために動作を停止することも可能になります。図1は、システマティック故障とランダム・ハードウェア故障についてまとめたものです。これらのうちいずれかの故障が発生すると、安全機能の実行が阻まれる可能性があります。システマティック故障には、ハードウェアの故障とソフトウェアの故障の両方が含まれます。それらの故障は、特定の原因に起因してデタミニスティックに発生します。これについては、設計の変更やその他の対策によって排除することが可能です。実際、IEC 61508は、システマティック故障を回避または制御するための規範的な手法と対策を提示しています。

一方、ランダム・ハードウェア故障はその名のとおりソフトウェアでは発生しません。ハードウェアに潜む1つ以上の劣化メカニズムに起因して、偶発的なタイミングで発生します。そのため、ランダム・ハードウェア故障は、診断機能やアーキテクチャを適切に設計する以外の方法で制御することはできません。

システマティック故障の制御

SILのレベルにかかわらず、システマティック故障を制御するために必須の事柄があります。例えば、電圧のブレークダウンや電源に関連するその他の危険側故障は必ず防止しなければなりません。そのための方法としては、ヒューズやツェナー・ダイオードなどによる保護手法の採用、コンポーネントの適切なディレーティング、十分な動作マージンの確保といったものが挙げられます。これらはいずれも受動的な手法です。それに対し、電源の診断を能動的に実施する方法も存在します。その例としては、過電圧保護、ウィンドウ電圧監視ICによる電源の監視、2次電圧の制御、電流制限、その他の能動的な保護回路の追加といった方法が挙げられます。特定のSILを満たすことを目指す場合、電源の設計においては、システマティック故障を制御するために上記のような対策を施すことが重要です。

製品を設計する際には、電気、熱、機械、電磁環境適合性（EMC：electromagnetic compatibility）、安全などに関連する規格で定められた性能の要件を満たさなければなりません。それに加え、以下に挙げるようないくつかの問いについて検討する必要があります。

• 電源の適切な起動／遮断シーケンスを実現するために、すべての電圧を適切に監視しているか：シームレスなシーケンス制御と診断を実現するには、電源監視ICの過電圧（OV：Overvoltage）側の閾値と低電圧（UV：Undervoltage）側の閾値を設定する際、電源の出力精度に影響を及ぼす様々な要因について検討する必要があります（図2）。
  

  

• 電磁イミュニティを高めるために、サージなどに対する保護機能やその他の対策が講じられているか：図3（a）に示したのは、「MAX6399」を用いたOV/UV保護回路です。図3（b）には「LTC4364」を用いたサージ・ストッパ回路を示しました。他にも、逆入力保護、逆電流保護、電流制限などの対策について検討すべきです。
  

  

• 十分に実績のあるコンポーネントが、その仕様に従うだけでなく、十分なディレーティング（例えば負荷条件の67%）を適用して使用されているか⁴：十分なディレーティングとは、確実に安全動作領域（SOA：Safe Operating Area）の範囲内でコンポーネントを動作させると共に、更なる動作マージンを設けるということを意味します（図4）。例えば、定格が125℃のコンポーネントを周囲温度が55℃という条件で動作させた場合に、ジャンクション温度が85℃まで上昇するとします。その場合、十分なディレーティングが実現されていることになります^4、5、6。
  

  

• 他には、どのようなシステマティック故障のモードに対処しなければならないか：この問いに対する答えの例としては、以下のようなものが挙げられます。
  • 入力回路を損傷させるおそれのある逆起電力（バックEMF［electromotive force］）⁷
  • クロスコンダクションの原因になるタイミング／パルス幅の問題
  • 熱暴走を引き起こすおそれのあるホット・スポットの問題（図5）

  

ランダム・ハードウェア故障の制御

ランダム・ハードウェア故障が安全関連システムの性能に与える影響については、FMEDAのドキュメントを使用して解析と定量化を実施します。その入力情報として使用するのは、故障率、アプリケーションの情報、ハードウェアの設計情報などです。その結果として得られるのは、ブロックの故障モードと影響、故障率（λ_SD、λ_SU、λ_DD、λ_DU）、各故障モードの診断カバレッジ、SILの指標です（図6）。

FMEDAによる製品の解析においては、他にも以下のような作業を行う必要があります。

• 安全機能の実装に用いられるコンポーネントの故障モードを解析します。
• 検出できない危険側故障を対象とした追加の安全対策（診断機能）やBIST（Built-in Self-test）を採用し、SILの指標を改善します。
• 安全側故障割合（SFF：Safe Failure Fraction）と危険側故障確率（PFH［Probability of Failure per Hour］/PFDavg［Probability of Failure on Demand Average］）の指標が必要なレベルに達するまで作業を繰り返します。
• 機能安全規格に準拠するコンポーネントについても検討すべきです⁹。その種の製品を採用すればいくつかのメリットが得られます。あるいは、機能安全（FS：Functional Safety）に対応するアナログ・デバイセズの製品を使用してもよいでしょう。それらの製品については、安全性に関するアプリケーション・ノート¹⁰が用意されています。ICの故障率の情報、故障モード分布（FMD：Failure Mode Distribution）、ピンの故障モード影響解析（FMEA：Failure Modes and Effects Analysis）の情報が示されているので、システムのFMEDAにかかる時間を短縮できます。

まとめ

堅牢性と安全性に優れる電源の設計の基盤になるのは、故障の管理についてIEC 61508で示されている厳格なアプローチです。最も重要なのは、システマティック故障に対処することです。同故障はデタミニスティックなものであり、ウィンドウ電圧監視IC、コンポーネントに対する十分なディレーティング、サージに対する保護といった設計上のプロアクティブな方策によって排除しなければなりません。開発プロセスの早い段階で受動的な対策と能動的な対策の両方を取り入れることにより、熱暴走や電圧のブレークダウンの発生といったリスクを軽減できます。その結果、ストレスが存在する条件下でも、定められたSOA内で電源システムを確実に動作させることが可能になります。

加えて、発生するタイミングを予測できないランダム・ハードウェア故障について考慮する必要があります。同故障は、設計上の工夫だけによって排除することはできません。しかし、FMEDAによってリスクを定量化すれば、効果的に管理することが可能になります。故障率を綿密に分析し、BISTなどで診断カバレッジを高めることにより、ハードウェアの劣化メカニズムによる影響を制御できます。その結果、非常に厳しいSILの要件を満たすことが可能になります。最終的には、システマティック故障の排除とランダム・ハードウェア故障の制御の相乗効果を活用することになります。それにより、電源は単なる電力の供給源としてだけでなく、機能安全システムを支える信頼性の高いバックボーンとしての役割を果たすようになります。

参考資料

¹Frederik Dostal「Determining Voltage Accuracy of Switch-Mode Power Supplies（スイッチング電源の出力精度を決める要因）」ElectronicDesign、2025年10月

²Bryan Borres、Christopher Macatangay「高性能の電圧監視ICにより、産業分野向け機能安全規格への準拠度を高める【Part3】 安全性を高めるために重要な機能」Analog Dialogue、Vol.59、2025年6月

³Noel Tenorio、Anthony Serquiña「高性能の電圧監視IC【 Part1】」Analog Dialogue、Vol. 58、2024年4月

⁴IEC 61508 All Parts, Functional Safety of Electrical/Electronic/Programmable Electronic Safety-Related Systems（IEC 61508　電気・電子・プログラマブル電子安全関連系の機能安全 - 全パート）、国際電気標準会議（IEC：International Electrotechnical Commission）、2010年

⁵Tom Meany「De-rating: Advice from NASA & Irish Legend（ディレーティング - NASAとアイルランドの伝承からのアドバイス）」2019年1月

⁶Dan Eddleman「MOSFETの安全動作領域とホット・スワップ回路」LT Journal of Analog Innovation、2017年4月

⁷「StallGuardおよびCoolStepテクノロジを使用して、より優れたステッピング・モータ・システムを構築」Analog Devices

⁸Christian Cruz、Gary Sapia、Marvin Neil Cabueñas「給電の中断を防ぐためのスマートなバッテリ・バックアップ【Part1】電気設計と機械設計」Analog Dialogue、Vol. 57、2023年12月

⁹Bryan Borres「高性能の電圧監視ICにより、産業分野向け機能安全規格への準拠度を高める【Part 2】 SILのレーティングに対応するコンポーネントの活用」Analog Devices、2025年3月

¹⁰Bryan Borres「安全性に関するアプリケーション・ノート　【Part 2】 故障モード分布」Analog Dialogue、Vol. 59、2025年10月

著者について