HFTとは？「壊れても安全を保つ」ための考え方

はじめに

前回の記事では、SIL (Safety Integrity Level) の指標である
PFDavg や PFH について解説しました。

いずれも「安全機能がどれくらい故障しやすいか」を表す指標です。

しかし、安全性を高める方法はそれだけではありません。
たとえ故障が発生したとしても、
「1つ壊れただけでは安全機能を失わない」ような仕組みを作ることも重要です。

そこで登場するのが HFT (Hardware Fault Tolerance) です。

本記事では、

• HFT とは何か
• HFT=0 と HFT=1 の違い
• 「1故障許容」とは何か
• 冗長化 (バックアップ) の考え方
• 1oo2 と 2oo3 の概要
• Cat.3 や Cat.4 との違い

について解説します。

HFT とは？

HFT (Hardware Fault Tolerance) は、日本語では「ハードウェア故障許容度」と呼ばれます。

少し難しい名前ですが、考え方はシンプルで、
「何個までの故障なら、安全機能を維持できるか」を表します。

例えば、機械の扉が開いたら停止する安全装置があるとします。
もし安全センサが1個しか付いていなければ、
そのセンサが故障したときに安全機能も失われてしまいます。

一方で、同じ役割のセンサが2個付いていたらどうでしょうか。
1個が故障しても、もう1個が働いてくれるかもしれません。

このような、「壊れてもすぐには安全機能を失わない仕組み」を評価し、
その故障への強さを数値で表すのが HFT です。

HFT=0 とは？

HFT=0 は、

「予備がない状態」

と考えるとわかりやすいでしょう。

例えば、安全センサが１個だけのシステムを想像してみて下さい。
予備がないため、故障しても大丈夫な機器は０個です。

言い換えると、

１つも故障してはいけない状態です。

故障を許容できないため、「HFT=0」となります。

HFT=1 とは？

HFT=1は、

「1個までなら故障しても大丈夫」

という状態です。

例えば、安全センサを2個使ったシステムを考えてみましょう。
1個目のセンサが故障しても、もう1個が正常に働いていれば安全機能は維持できます。
しかし、さらにもう1個も故障すると、安全機能は失われます。

つまり、

• 1個目が故障 → まだ大丈夫
• 2個目も故障 → 安全機能を失う

という状態です。

このように、「1回の故障に耐えられる」ことから、

1故障許容 (Single Fault Tolerance)

とも呼ばれます。

HFT=N−1 とは？

HFT について調べると、

HFT = N−1

という式を見かけることがあります。

「N」は、「何個の故障が発生すると安全機能が失われるか」を表します。

例えば、センサが1個しかない場合は、
1個故障すると安全機能を失います。

つまり、「N=1」です。

そのため、

HFT= 1 − 1
        = 0

になります。

一方、センサが2個あり、
2個目の故障で安全機能を失う場合は、「N=2」です。

そのため、

HFT=2 − 1
        =1

になります。

式だけ見ると難しく感じますが、
「何個故障しても耐えられるか」を数字で表しているだけです。

HFT=0 → 0個まで耐えられる (１個も故障してはいけない)
HFT=1 → 1個まで耐えられる (１故障許容)

なお、理論上は HFT=2 や HFT=3 といった構成も存在します。
しかし、機械安全の分野では HFT=0 または HFT=1 が用いられることが多く、
本記事でもこの2つを中心に説明します。

なぜ HFT が必要なの？

どんな機器でも、故障率をゼロにすることはできません。
どれほど信頼性の高い部品でも、いつかは故障します。

そのため、安全設計では「故障しないこと」だけでなく、
「故障してもどこまで安全を保てるか」も考える必要があります。

HFT は、そのための指標です。

冗長化とは？

HFTを高める方法としてよく使われるのが、

冗長化じょうちょうかです。

難しく聞こえますが、「バックアップを用意すること」と思えば十分です。

例えば、

• センサを2個付ける
• PLC を2台使う
• 安全回路を二重化する

といった方法があります。

飛行機に複数のエンジンが搭載されているのも、考え方としては似ています。
1つが故障しても、すぐに機能を失わないようにするためです。

1oo2 とは？

冗長化を説明するときによく登場するのが

1oo2 という表記です。

これは、1 out of 2 の略です。
意味としては、

「2つのうち、どちらか1つが条件を満たせば安全機能が作動する」

という構成です。

例えば安全センサが2個あり、
どちらか一方が危険を検知したら機械を停止させる場合などが該当します。

イメージとしては、
「2人で見張りをしていて、どちらか1人が危険に気付けば止める」という状態です。
そのため、1人が見逃しても、もう1人が気付けば安全を保てます。

2oo3 とは？

1oo2 以外にも、より高度な冗長構成が用いられることがあります。

その代表例が 2oo3 です。

これは、2 out of 3 の略です。意味としては、

「3つのうち2つが条件を満たせば安全機能が作動する」

という構成です。
例えば、

• センサA → 危険
• センサB → 危険
• センサC → 安全

なら、多数決で「危険」と判断して機械を停止します。

逆に1台だけおかしな動きをしても、多数決によって正しい判断をしやすくなります。
イメージとしては、「3人で相談して、多数決で決める」仕組みです。

Cat.3 や Cat.4 と何が違うの？

PL (Performance Level) について学んだことがある方は、
「それって Cat.3 や Cat.4 と同じ話では？」と思うかもしれません。

実際、考え方はよく似ています。Cat.3 や Cat.4 も、
「1つ故障しても安全機能を失わない」ことを目指した
システム構造 (アーキテクチャ) だからです。

そのため、センサや回路を二重化するなど、冗長化の考え方と共通する部分があります。
ただし、Cat.3 や Cat.4 は「どのような構造にするか」を定めた分類です。

一方、HFTは「何回の故障まで耐えられるか」を表す指標です。
似ている部分はありますが、同じものではありません。

HFT が「目標」なら、
Cat.3 や Cat.4 はその目標を実現するための「手段」と考えることができます。

まとめ

HFT (Hardware Fault Tolerance) は、

「何個までの故障なら、安全機能を維持できるか」を表す指標です。

ポイントを整理すると、

• HFT=0 は故障を許容できない
• HFT=1 は1個の故障に耐えられる
• HFT を高めるには冗長化が使われる
• 1oo2 や 2oo3 は代表的な冗長構成
• Cat.3 や Cat.4 とは似ているが別の概念 (Cat. は手段、HFT は目標）

となります。

PFDavg や PFH が「どれくらい故障しやすいか」を表す指標だとすれば、
HFT は「故障してもどれくらい耐えられるか」を表す指標です。

SIL を理解するためには、故障率だけでなく、
「故障した後も安全を保てる仕組み」にも目を向けることが大切です。

～関連製品～