機能安全とは？（２）組込みシステムにおける機能安全規格について紹介

近年、組込み機器でも機能安全への意識が高まっています。機能の安全を評価する方法の一つとして、機能安全規格があります。

前回の記事では機能安全における必要な評価軸である「信頼性」と「安全性」について解説しました。今回は、組込み機器における主要な機能安全規格である「IEC61508」と「SIL（ASIL）」について解説します。

組込み機器における機能安全規格

基本安全規格「IEC 61508」について

プロセス産業における電気・電子・プログラマブル電子（以下、E/E/PE）の機能安全に関する国際規格として、IEC（International Electrotechnical Commission：国際電気標準会議）が制定した基本安全規格「IEC 61508」があります。

IEC 61508は、製造、プロセス、輸送、医療、その他の業務に供される機器、機械類、装置、プラントなどにおけるリスクを軽減するために使用されるコンピュータ・ソフトウェアを含むE/E/PEによる安全性を高めるための機能安全規格です。

機能安全という考え方は、このIEC 61508を策定する段階で導入されています。化学プラントや原子力発電所の事故は、1986年に旧ソビエト連邦で起きたチェルノブイリ原子力発電所事故のように甚大な被害をもたらす可能性が高いです。しかし、電子システムは常に故障するリスクがあり、開発・操作する人間がミスを犯すこともあり得ます。このような条件では、本質安全の考え方だけで、安全を達成することはできません。そこで、電子システムに機能を追加し、何らかの故障やミスが発生した場合でも重大な被害の発生につながらないようにするという考え方が、機能安全の基礎になっています。

出典：株式会社リベルワークス「IEC61508」
出典：アイティメディア株式会社「「機能安全」の導入で何が変わるのか？」

各分野の下位規格

また、IEC 61508は各分野に共通する機能安全の規定を取り扱うため、各分野で要求される事項を個別に規定する下位規格が必要になってきます。そこで、産業機械に機能安全を適用するための「IEC 62061」、自動車分野の「ISO 26262」、医療分野の「IEC 60601」、家電分野の「IEC 60335」など、IEC 61508から派生した規格もつくられています。

出典：佐藤吉信、川島興「機能安全規格 IEC 61508 の課題と改訂動向」

SILとASIL

機能安全規格の「IEC 61508」や「ISO 26262」などでは、リスクを許容可能なレベルに低減させる機能の実装に対して、実施すべき内容を示した指標があります。

IEC 61508では「SIL」、ISO 26262では「ASIL」を指標として用い、システム/ハードウェア/ソフトウェアの各作業における要求を確認していきます。

SILとは？

SILとは、安全度合いを決める尺度である安全度水準（Safety Integrity Level）のことです。

安全設計をおこなうためには、「ハザードの特定→リスクの見積・評価→リスク低減策決定」というサイクルを回して、許容可能なレベルまでリスクを低減していく必要があります。

実際の作業としては、安全関連系（SRS：Safety Related System、安全関連システム）の要件定義や設計をおこないます。安全関連系とは、制御対象の機器（EUC：Equipment Under Control）を安全な状態に移行したり、安全機能（safety function）を実行するサブシステムのことです。

システム全体に要求される安全機能を実現するため、各安全関連系には、それぞれに必要なSILが割り当てられます。SILは4段階で定められており、SIL4の要求が一番高く、最も安全性が高いといえます。

出典：ハートランド・データ株式会社「ハートランド・ザ・ワールド：「SIL」「ASIL」とは？機能安全規格の開発を始めるにあたり知っておきたいこと。
出典：社団法人組込みシステム技術協会「組込み系技術者のための安全設計入門」

ASILとは？

ASIL

ASILとは、自動車安全水準（Automotive Safety Integrity Level）のことです。ISO 26262規格で定義されたリスク分類システムで、車の機能安全に関して安全性要件を定めています。

ASILは、暴露の確率、コントローラビリティ、シビアリティの３種のパラメータにより決定され、A～Dの4段階で表されます。自動車のハザードの程度が最も低いのがASIL-A、最も高いことを示すのがASIL-Dです。エアバッグ、アンチロック・ブレーキ、パワーステアリングなど、そのシステムが故障するとリスクが非常に高くなるものには、最も厳しい要件であるASIL-Dグレードが求められます。

ASILを決定する3つのパラメータ

暴露の確率(Exposure)：ハザードに関連する動作の実行頻度を表すパラメータ
コントローラビリティ(Controllability)：ハザードが発生したときにハザード回避、制御の可能性を表すパラメータ
シビアリティ(Severity)：運転者や周辺の人命にどのような影響があるのかを表すパラメータ

出典：ハートランド・データ株式会社「ハートランド・ザ・ワールド：「SIL」「ASIL」とは？機能安全規格の開発を始めるにあたり知っておきたいこと。
出典：シノプシス「ASILとは」