PFHとは？ - PFDavgとの違いまで –

工場の安全機器について調べていると、
「PFH」や「PFDavg」という言葉を見かけることがあります。 

この記事では、PFH について、

• 何を表す数字なのか
• どんな場面で使われるのか
• PFDavg と何が違うのか

を解説します。

まず結論：PFH とは？

PFH (Average frequency of a dangerous failure of the safety function [h–1])^※とは、

「危険な故障が、どれくらいの頻度で発生するか」を表す数値です。

もう少し正確に言うと、「１時間当たりの、危険側故障の発生頻度の平均値」を意味します。

まずは、「危険側故障」という言葉から見ていきましょう。

※ IEC 61508 における規定です。
IEC 62061 では「Probability of a dangerous Failure per hour (PFHD)」、
ISO 13849 では「Average probability of dangerous failure per hour (PFHD)」と規定されています。
本記事では、IEC 61508 に基づき、PFH と表記しています。

「危険側故障」とは？

安全機器は、「危険を防ぐ」ために使われます。

たとえば：

• 人が機械に近づいたら停止する
• 扉が開いたら停止する
• 異常を検知したら停止する

などです。

ところが、安全機器も機械なので、壊れることがあります。

問題なのは、「壊れた結果、安全機能が働かなくなる」ケースです。

これを「危険側故障」と呼びます。
たとえば、

• 人が近づいたのに停止しない
• 扉を開けても止まらない
• 異常を検知できない

といった状態です。

つまり PFH は、「そのような危険な故障が、どれくらい起きやすいか」を示す数字なのです。

PFH は「時間あたり」の考え方

PFH の大きな特徴は、「時間」を基準にしていることです。

単位としては、通常「1/h」が使われます。

これは、「1時間あたり」という意味です。

ここで重要：PFDavg とは考え方が違う

ここは大切なポイントです。

PFH と PFDavg は、似ているようで、実は「見ているもの」が違います。

PFDavg は「いざという時、働けるか」

PFDavg は、「普段はほとんど働かない安全機能」で使われる考え方です。

たとえば：

• 非常停止
• 緊急遮断
• 異常時だけ作動する保護機能

などです。

これらは、通常時にはあまり働きません。
つまり、「必要になった時だけ作動する」タイプです。

そのため PFDavg では、「いざ必要になった時、ちゃんと安全機能が働くか」を重視します。

PFH は「常に働き続ける安全機能」

一方 PFH は、「頻繁に働く、または常に監視し続ける安全機能」で使われます。

たとえば：

• 常時監視している安全回路
• 頻繁に ON/OFF する安全機能
• 連続運転中に監視し続けるシステム

などです。

こちらは、「必要な瞬間だけ作動すればいい」わけではありません。
安全機能は、運転中ずっと働き続ける必要があります。

そのため問題になるのは「監視や制御を続けている途中で、危険側故障が起きないか」です。

つまり、「どれくらいの頻度で危険側故障が発生するか」を、
時間の経過を踏まえて考える必要があります。

だから PFH では、「危険な故障が、時間あたりどれくらい発生するか」を評価するのです。

PFH では「運転時間の長さ」がポイント

PFH は、たとえば「1時間あたりに、危険側故障がどれくらい発生するか」を見る指標です。

そのため、運転時間が長くなるほど、
「その間に危険側故障が発生する可能性」も増えていきます。

だから PFH では、

• そもそも壊れにくい設計
• 危険側故障を起こしにくい構成
• 異常をすぐ検知できる仕組み

などによって、「長時間運転しても、危険側故障が起きにくいこと」が重要になります。

例えば、セーフティスイッチにおける：

• 冗長化
• 自己診断
• 相互監視
• フェイルセーフ設計

などは、PFH 改善につながる代表例です。

でも、PFDavg にも「時間」は関係あるのでは？

ここで、

「でも PFDavg だって、時間が経つほど壊れやすくなるのでは？」

と思う人もいるかもしれません。

これは、とても自然な疑問です。

実際、PFDavg にも時間は関係しています。

PFDavg では「故障したまま放置される時間」が問題

たとえば、普段は待機している安全機能があったとします。

もしその安全機能が故障していても、「実際に必要になるまで気づかない」ことがあります。

すると、「いざという時に働かない」危険が出てきます。

つまり PFDavg では、

「故障したまま、どれくらい長く放置される可能性があるか」に注意が必要となるのです。

点検周期が重要になる理由

たとえば：

• 1年に1回しか点検しない
• 半年ずっと故障していた

とすると、「必要な瞬間に失敗する確率」は高くなります。

逆に：

• 毎日テストする
• すぐ故障を発見できる

なら、危険は小さくなります。

つまり PFDavg では、「故障が潜伏する時間」が問題なのです。

そのため、

• 自己診断機能
• 定期テスト
• 異常検知機能

などによって、「故障を早く発見できる仕組み」を持つ安全機能は、

PFDavg を小さくしやすくなります。

これは、「いざという時に安全機能が働かない危険」を減らせるためです。

PFH と PFDavg の「時間」の違い

ここまでを整理すると、PFH と PFDavg は、どちらも時間と関係があります。

ただし、「時間をどう見ているか」が違います。

PFH

「運転中に、危険側故障がどれくらい発生するか」を見ます。

つまり、「故障発生の頻度」を、時間の経過を念頭に置いて考えています。

(例) PFH = 1×10⁻⁷/h

これはイメージとしては、

「1時間運転するごとに、平均して10⁻⁷回の危険側故障が発生するペース」

という意味です。

言い換えると、

「1000万時間運転したら、平均1回くらい危険側故障が起きるペース」とも考えられます。

運転時間が長くなるほど、「その間に故障が起きる可能性」も増えていくため、

PFH では、「長く運転しても、危険側故障が起きにくいこと」が重要です。

PFDavg

「要求された時に、すでに故障しているかもしれない」を見ます。

つまり、「故障が潜伏している時間」が問題です。

(例) PFDavg = 1×10⁻³

これは、

「安全機能が必要になった時に、平均で1000回に1回程度、危険側故障している可能性がある」

というイメージです。

こうした理由から、PFDavg では「故障に早く気づけること」が大切なのです。

SIL との関係

PFH と PFDavg は、SIL (安全度水準) とも関係があります。

SIL では、

• どれくらい危険側故障が起きにくいか
• どれくらい安全性が高いか

を数値で評価します。

その際、「安全機能の信頼性を示す重要な指標」の１つとして、

• 頻繁に動作する安全機能
• 常時監視する安全機能

では PFH が使われ (安全機能①常に働いているタイプ)、

• 普段は待機していて、
• 必要な時だけ動作する安全機能

では PFDavg が使われます (安全機能②普段は待機しているタイプ)。

PFH の値は「小さいほど良い」

PFH は、小さいほど安全です。

なぜなら、危険側故障が起きにくいという意味だからです。

セーフティスイッチのカタログに PFH が載っている理由

セーフティスイッチのカタログで、PFH を見かけることがあります。

これは、「この製品が、どれくらい安全性に貢献できるか」を示すためです。

特に、

• ISO 13849-1
• IEC 62061
• IEC 61508

などの安全規格では、「安全機能が、どれくらい危険側故障を起こしにくいか」が重要になります。

その評価には、

• PFH
• PFDavg

などの指標が使われます。

特に、セーフティスイッチのような：

• 常時監視を行う安全機器
• 頻繁に動作する安全機器

では、PFH が用いられることがあります。
そのため、製品仕様として PFH が記載されることがあるのです。

まとめ

PFH とは、「危険側故障が、時間あたりにどれくらい発生するか」を表す数値です。

そして、PFDavg との大きな違いは、

• PFH →「運転中にどれくらい危険側故障が起きるか」
• PFDavg →「必要な時に働けるか」

という点です。

つまり、安全機能の“使われ方”によって、評価基準・指標が変わるのです。

最初は難しく感じるかもしれませんが、安全機能が

• 「常時監視型」なのか
• 「待機型」なのか

を意識すると、PFH と PFDavg の違いはかなり理解しやすくなります。

～関連製品～