はじめての機能安全（その４）

4. 産業別の機能安全規則（自動車、航空宇宙、鉄道、医療機器）

4.1 自動車産業

自動車産業においては、機能安全に関する国際規格であるISO 26262が存在します。
ISO 26262は、自動車の電子制御システムの安全性を確保するための国際規格で、ハザードの特定、安全要求仕様の策定、設計と開発、試験や検証、生産、保守などのプロセスに関する要件を定義しています。この規格は、自動車、オートバイ、トラックとバスに搭載される電気・電子システムの設計・開発・テスト・評価・保守・改訂に対して適用されます。

この規格のASIL（Automotive Safety Integrity Level）という概念は、電子制御システムの安全性を評価するための指標として使用されます。潜在的なハザードの影響度や頻度に応じて、ASILを定めることができます。具体的には、ASIL Aが最も低く、ASIL Dが最も高い安全インテグリティレベルを示します。

ISO 26262では、要求仕様の策定、設計、開発、試験や検証、生産、保守などのプロセスに従い、対象システムの機能、システム、ハードウェア、ソフトウェアに関する安全要件を策定します。また、故障の特定や回避、安全機能（安全機構）による安全性の確保、機能から設計と検証、テストに至るまでのトレーサビリティの確保、文書化などの要件が含まれます。これらの要件によって、自動車の電子制御システムの安全性が確保されます。

4.2 航空宇宙産業

航空宇宙産業は、有人輸送を含めて高度な技術が必要であるため、機能安全規制が必要となります。航空機や航空管制システムは、安全性が非常に重要であり、そのためにDO-178C、DO-254、DO-278といった規格が存在し、それぞれソフトウェア開発、ハードウェア開発、航空管制システム開発において、安全性要件を提供しています。

DO-178Cは、航空機装備装置のソフトウェアの安全性規格であり、設計から認証までのプロセスを定義しています。この規格の目的は、航空機装備装置のソフトウェアを高い安全性と信頼性で開発し、ソフトウェアの不具合によるリスクを低減することです。この規格では、開発保証レベル（DAL：Design Assurance Levels）5つのレベル（Level A～E）が定められ、潜在的な故障による影響度や危険度に応じてハザード分析を行い選択されます。安全性への影響が一番高いのがAで、一番低いのがEとなっています。それぞれに対してソフトウェア要求事項やプロセスガイドラインが含まれています。また、DO-178Cは要求事項だけでなく、文書化方法論も提供しています。

DO-254は、航空機ハードウェアの安全性規格であり、設計から認証までのプロセスを定義しています。この規格でも、5つの安全性レベル（Level A～E）が定められ、それぞれにハードウェア要求事項やプロセスガイドラインが含まれています。DO-254は要求事項だけでなく、文書化方法論も提供しています。DO-254が適用される航空機用電子ハードウェアの例としては、フライトコントロールシステム、エンジン制御システム、航法システム、通信システムなどがあります。

DO-278は、航空管制システムの安全性規格であり、設計から認証までのプロセスを定義しています。この規格には、3つの安全性レベル（Level 1～3）があり、それぞれに要求事項やプロセスガイドラインが含まれます。DO-278にも、要求事項と文書化方法論を提供しています。また、DO-278Aは、高度な地上移動誘導および制御システム（Advanced Surface Movement Guidance & Control System）に適用されることがあります。

4.3 鉄道産業

鉄道産業においては、機能安全に関する規格としてEN 50126、EN 50128、EN 50129が存在します。これらの規格は、鉄道のシステムやコンポーネントに関する機能安全性の評価と、その機能安全性の確保に必要なプロセスを定義しています。

EN 50126は、鉄道システムの信頼性、可用性、保守性、安全性（以上RAMS）とその相互作用に関する規格であり、鉄道システムのライフサイクルとその中のタスクに基づいたRAMS管理のプロセスを定義しています。安全性に関しては、鉄道システム内のすべてのコンポーネントやサブシステムが安全であることを確保するために、ハザード分析や安全性評価などが必要です。

EN 50128は、鉄道システムのソフトウェア開発に関する規格であり、ソフトウェアの設計・開発・テスト・評価・保守・改訂などのプロセスに対して安全性要件を定めています。また、SSIL（Software Safety Integrity Level）という概念を導入し、ソフトウェア全体の安全性を評価するための指標として使用されます。

EN 50129は、鉄道システムのハードウェアや電子部品に関する規格であり、システムやコンポーネントの安全性レベル（SIL）を設定し、安全証明書（Safety Case）を作成するためのプロセスを定めています。安全証明書は、システムやコンポーネントが安全であることを立証する文書であり、品質管理、安全管理手法、安全を担保する技術的な理由などを含みます。

4.4 医療機器産業

医療機器産業においては、安全性が非常に重要な要素です。そのため、国際規格であるIEC 60601-1が存在します。この規格は、医療機器の電気的安全性や機能安全性に関する要件を定義し、医療機器の開発者、製造業者、販売業者、使用者など関係者全ての責任と役割を明確にします。

医療機器は人命を扱う製品であるため、電気的安全性が確保されていることが非常に重要です。IEC 60601-1は、この点に着目し、電気ショックや火災などのリスクから患者や医療従事者を守るための設計基準や試験方法などを規定しています。

また、医療機器は正しく動作しなければ意味がありません。そのため、IEC 60601-1では不具合や故障などのリスクも考慮しました。この規格では、医療機器の開発プロセス全体で遵守すべき手順や方法論なども示しています。

IEC 60601-1は、手術用器具、モニター、診断機器、治療機器（人工呼吸器、人工心臓など）などの医療用電気製品（ME Equipment）およびその付属品（ME System）に適用される規格です。この規格に準拠することで、医療機器の安全性と信頼性を高めることができます。

4.5 まとめ

主要な産業の機能安全に関する規格を紹介しましたが、これらの規格に記載されている技術的は高度なものであり、実践的な知識や経験が必要です。機能安全エンジニアは、これらの規格または規制に精通し、それぞれの産業において機能安全性を確保するために必要なプロセスに基づき製品またはシステムを設計、開発、実装する役割を担っています。

参考文献

• ISO 26262 - Road vehicles - Functional safety (2018)

• DO-178C - Software Considerations in Airborne Systems and Equipment Certification (2011)

• DO-254 - Design Assurance Guidance for Airborne Electronic Hardware (2000)

• DO-278 - Guidelines for Communication, Navigation, Surveillance, and Air Traffic Management (CNS/ATM) Systems Software Integrity Assurance (2010)

• EN 50126 - Railway applications — The specification and demonstration of Reliability, Availability, Maintainability and Safety (RAMS) (2017)

• EN 50128 - Railway applications — Communication, signalling and processing systems — Software for railway control and protection systems (2011)

• EN 50129 - Railway applications — Communication, signalling and processing systems — Safety-related electronic systems for signalling (2018)

• IEC 60601-1 - Medical electrical equipment - Part 1: General requirements for basic safety and essential performance (2012)

コラム：ChatGPTとの対話４

空飛ぶ車についてはまだ機能安全規格がありませんが、自動車というより滞空機関期間が多いため、航空機の安全規格準拠が望ましいと考えます。航空機のように型式証明を取得しないといけないため、実用化されるまでに時間を要すると思います。
ChatGPTに空飛ぶ車の機能安全について聞いてみました。