このブログは「Understanding Functional Safety and Ensuring Reliability in Critical Systems」を翻訳・一部加筆したものです。
ますます自動化が進む現代において、システムの安全性と信頼性は最も重要な要素です。機能安全はこれら重要な要素の一つであり、システムが入力に対して正しく動作することを保証します。これは、故障が発生した場合でも機能し続けることを意味します。したがって、機能安全は後付けの対応ではなく、ソフトウェア開発プロセスの一環として、最初から組み込む必要があります。
では、機能安全とは具体的に何でしょうか？なぜそれほど重要なのでしょうか？そして、どのように実現するものなのでしょうか？
機能安全とは？
機能安全は、自動保護機構に依存して入力や故障に対して予測可能な方法で適切に反応するシステムや機器の全体的な安全性のうちの一つの要素です。これは、安全機能があらゆる条件下で適切に機能することを確保することにより、人命、財産、および環境への危害のリスクを最小限に抑えることを目的としています。
機能安全は、潜在的に危険な状態を検出する安全機能の実装を通じて実現されます。これらの機能は、事故を防止するために適切な措置を講じるように設計されています。これらの機能は、現代の産業用および消費者向け製品の一部として不可欠なソフトウェアに組み込まれていることが多くあります。
機能安全の重要性
機能安全は、いくつかの理由から極めて重要です – そのうちいくつかはとても明白です：
- 人命の保護: 機能安全の主な目的は、事故を防止し、危害のリスクを低減することで、人間の生命を保護することです。これは、自動車、医療、産業自動化などの業界において特に重要であるのは、システム障害が重大な結果を招く可能性があるためです。
- 規制の遵守: 多くの業界は、機能安全の実現を義務付ける厳格な規制要件に準拠する必要があります。これらの規制に準拠することは、製品を販売するための必須条件です。
- システムの信頼性と企業への信頼: 機能安全の実現はシステムの信頼性を向上させ、これによりユーザーとステークホルダーからの信頼を築きます。信頼性の高いシステムは故障のリスクが低く、顧客満足度の向上と法的責任の軽減につながります。
- コストの削減: 機能安全を確保することは、経済的なメリットももたらします。設計および開発の初期段階で安全性を考慮することは、現場での故障に対処するよりもコスト効率が優れています。機能安全は、高額なリコール、修理、法的措置を防止するのに役立ちます。また、ブランドイメージの損壊による販売への影響（場合によっては致命的なもの）も存在します。
ソフトウェア開発における機能安全の実現方法
ソフトウェアシステムにおける機能安全を実現するためには、構造化された開発プロセスが不可欠です。以下に、その主要なフェーズと必要なアクションをいくつか示します：
- 危険要因、およびリスクの評価を実施する: 最初のステップは、ソフトウェアの動作とシステム間の相互作用における潜在的な危険要因を特定し、関連するリスクを評価することです。これには、システムの運用環境を理解し、故障時の潜在的な影響を分析することが含まれます。つまり、各危険要因の深刻度、暴露度、制御可能性を判断するために、運用コンテキストを分析する必要があります。リスクレベルを評価するために一般的に使用される方法には、HAZOP（危険性と操作性分析）、FMEA（故障モードと影響分析）、またはFTA（故障木分析）があります。どの方法を選択するかは、システムの複雑さと業界の要件に基づいて決定する必要があります：
• HAZOP: プロセス指向のシステムに最適で、設計意図からの逸脱を分析します
• FMEA: コンポーネントレベルでの分析に有効で、単一障害点を特定します
• FTA: 複雑なシステムにおいて有用で、潜在的な事故から根本原因までを逆算して分析する手法です
- 安全要件の定義と特定: 危険性とリスクの評価結果を、明確で検証可能な安全要件に翻訳し、機能安全要件（システムが必須で実行しなければならないこと）と安全整合性レベル（その信頼性）を明確に定義します。ただし、このためにガイドラインを再発明する必要はありません。要件の策定をガイドし、一から始めることを避けるために、利用可能な多くの標準規格やガイドラインが存在します（下記参照）。
- 機能安全の設計と実装: 安全機能は現在、システムに設計および実装する必要があります。このフェーズでは、安全上重要なコンポーネントを適切に隔離し管理できるように、ソフトウェアアーキテクチャを設計することが特に重要です。また、冗長性、ウォッチドッグ、フェイルセーフなどの安全メカニズムを備えたソフトウェアモジュールを実装することも役立ちます。当然ながら、ハードウェアもメモリ保護、冗長処理機能、安全な故障モードなどの機能を通じて、必要な安全整合性レベルをサポートする必要があります。
- 検証と妥当性確認を実施する: すべての準備が整ったら、システムは安全要件を満たしていることを確認し、あらゆる条件下で正しく動作することを検証するために、厳格なテストを実施する必要があります。このため、アーキテクチャ検証と静的コード分析を最初から実施し、問題をできるだけ早期に検出するようにします。早期に発見された問題は修正が容易であり、損害を最小限に抑えることができます。また、このフェーズで重要な役割を果たすテスト（ユニットテスト、機能テスト、統合テスト、故障注入テストなど）も、よりスムーズかつ成功裡に実施されます。
- トレーサビリティの提供: 要件から分析およびテストケースとその結果まで、追跡可能性を確保することは良い実践手法です。追跡可能性は、すべての安全要件が設計決定、実装選択、検証活動、および検証結果を通じて追跡可能であることを保証します。これにより、安全要件が適切に考慮されたことを示す監査可能な記録が作成され、多くの規制枠組みで要求される安全ケース開発の基盤が確立されます。
- 安全管理の確立と維持: システムのライフサイクル全体にわたって、安全性を維持するために安全管理プロセスが適切に実施される必要があります。これには、文書化、構成管理、変更管理に加え、必要に応じて安全機能の定期的なレビュー、監査、および更新が含まれます。
国際基準とガイドライン
上記で述べたように、異なる業界において機能安全を規制する国際的な基準やガイドラインが複数存在します。これらの基準は、システムにおける機能安全の実現と維持のための枠組みを提供しています：
- IEC 61508: 電気、電子、およびプログラマブル電子システムにおける機能安全の包括的な基準です。この基準は、システムのライフサイクル全体にわたる機能安全の管理のための包括的な枠組みを提供します。
- ISO 26262: この規格は自動車業界に特化したもので、道路車両の電気・電子システムの機能安全に関する要件を定めています。自動車安全整合性レベル（ASIL）を定義し、自動車システムにおける機能安全の実現のための指針を提供しています。
- IEC 62304: この規格は、医療機器に使用されるソフトウェアの開発に特化して策定されたものです。計画、開発、テスト、保守、リスク管理を含む包括的なソフトウェアライフサイクルモデルを定義しています。この規格では「機能安全」という用語を明示的に使用していませんが、医療機器ソフトウェアが製品ライフサイクル全体を通じてリスクを最小限に抑え、患者安全を確保するように開発・保守されることを保証することで、同じ原則を体現しています。
- IEC 60601: この規格は医療機器産業にも適用され、医療用電気機器の安全性と性能を確保します。医療機器の設計から廃棄までの全ライフサイクルをカバーしています。
- IEC 62061: この規格は機械産業分野に特化したもので、安全関連制御システムの機能安全に関する要件を定めています。
- EN 50128: この規格は鉄道業界に適用され、鉄道の制御および保護システムで使用されるソフトウェアの要件を規定しています。
自動車業界における機能安全の失敗事例
機能安全はさまざまな業界に適用されますが、自動車業界で発生する故障は、他の業界の事例よりも注目されがちです。これは主に、公共の注目度と影響力の違いに起因します。自動車は消費者向け車両であり、数百万人のユーザーに影響を与える可能性があります。この日常の生活との感情的なつながりが、メディアの報道をさらに引き起こす傾向があります。以下は、機能安全の故障が重大な結果を招いた自動車業界の著名な事例の一部です：
意図しないクルマの加速:
2000年代後半、ある自動車メーカーは、車両の意図しない加速に関する多数の報告を受けました。調査の結果、電子式スロットル制御システムにおけるソフトウェアの問題が要因の一つであることが判明しました。適切な機能安全対策の欠如により、複数の事故が発生し、負傷者や死亡者が出ました。メーカーは数百万台の車両をリコールする措置を講じ、多額の法的・金銭的損害を被りました。
オートパイロット機能の故障:
自動運転システムは依然として開発中の技術ですが、従来のシステムと同等か、場合によってはより安全であると期待されています。主要なメーカーの自動運転システムは、障害物を検出できなかったり、道路状況に適切に対応できなかったりした事故に複数回関与しています。これらの事故は、高度な運転支援システム（ADAS）における機能安全の確保における課題を浮き彫りにしています。機能安全対策が不十分だと、自動運転システムが衝突を防止できなかった事例のように、重大な事故を引き起こす可能性があります。さらに、人々は新しい技術への信頼と採用に消極的になっています。
イグニッションスイッチの故障:
2014年に、複数の車種における点火スイッチの欠陥により、大規模なリコールが発生しました。この欠陥は、エンジンが突然停止し、エアバッグなどの重要な安全システムが機能しなくなる可能性がありました。設計および製造プロセスにおいて、十分な機能安全対策が実施されなかったことが、多数の事故と死亡事故を引き起こしました。製造元は、数百万台の車両をリコールし、多額の罰金と賠償金を支払うことになりました。
結論
機能安全は、現代のシステムにおいて極めて重要な要素であり、あらゆる条件下で正しく安全に動作することを保証します。機能安全を実現するためには、危険とリスクの評価、安全要件の定義、設計と実装、検証と確認、および継続的な安全管理を含む体系的なアプローチが必要です。IEC 61508、ISO 26262 などの国際規格は、異なる業界において機能安全を実装するための枠組みを提供しています。
機能安全の重要性は強調してもしきれません。機能安全は、人間の生命を保護し、規制遵守を確保し、システムの信頼性を向上させるとともに、コスト削減にもつながります。機能安全の基準とガイドラインに従うことで、組織はリスクを軽減し、事故を防止し、システムの安全性と信頼性を確保することができます。
当社がどのようにご支援できるか？ について
Axivion Static Code Analysis は、関連する規格に規定される安全要件の最高レベルまでの安全システムの開発において使用されることが 認証されました。
- ISO 26262 up to ASIL D
- IEC 61508 up to SIL 4
- IEC 62304 up to Class C
- EN50128 up to SIL 4
- EN 50657 up to SIL 4
Axivion アーキテクチャ検証は、コードが意図したソフトウェアアーキテクチャから逸脱しないことを保証します。これは、安全クリティカルなコンポーネントを適切に隔離し管理することで機能安全を実現するための簡単な方法です。
当社の専門家をご紹介いたします
当社の専門家チームは、多様な業界における豊富な経験と、高品質な安全クリティカルソフトウェアの開発において確かな実績を有しています。ご要望や具体的なご要件についてご相談いただくか、デモのご予約をご希望の場合は、お気軽に こちらにお問い合わせください。
