Loading article…
機能安全は、システムまたは機器の全体的な安全性の一部であり、予測可能な方法 ( フェールセーフ ) での入力または障害に応答して正しく動作する自動保護に依存します。自動保護システムは、起こりうる体系的なエラー、ハードウェア障害、および運用/環境ストレスを 適切に処理するように設計する必要があります。
客観的
機能安全の目的は、 1 つ以上の自動保護機能 (安全機能と呼ばれることが多い) を適切に実装することにより、直接的または間接的 (財産または環境への損害を通じて) に身体の傷害または人の健康に損害を与えるという許容できないリスクを回避することです。安全システム (安全関連システムと呼ばれることが多い) は、1 つ以上の安全機能で構成されます。
機能安全は、コンポーネントまたはサブシステムの機能を、あらゆるシステムの自動保護機能全体の機能の一部として扱う必要があるという点で、本質的にエンドツーエンドの範囲です。したがって、機能安全規格は電気、電子、およびプログラマブル システム (E/E/PS) に重点を置いていますが、エンドツーエンドの範囲は、実際には、機能安全手法が、E/E/PS アクチュエータ、バルブ、モーター制御またはモニターなどのシステムの非 E/E/PS 部分にまで及ぶ必要があることを意味します。
機能安全の実現
機能安全は、指定されたすべての安全機能が実行され、各安全機能に要求されるパフォーマンス レベルが満たされたときに達成されます。これは通常、少なくとも次の手順を含むプロセスによって達成されます。
- 必要な安全機能を特定します。これは、危険と安全機能を把握する必要があることを意味します。これらを特定するために、機能レビュー、正式なHAZID、HAZOP、事故レビューのプロセスが適用されます。
- 安全機能に必要なリスク低減の評価。これには、安全度水準(SIL) やパフォーマンス レベル、またはその他の定量評価が含まれます。SIL (または PL、AgPL、ASIL ) は、システムのコンポーネントや一部だけでなく、安全関連システムのエンドツーエンドの安全機能に適用されます。
- 安全機能が設計意図通りに機能することを保証します。これには、オペレーターの誤った入力や故障モードの条件下も含みます。これには、認定された機能安全規格に従ってプロセスを実行する、資格のある有能なエンジニアによって設計とライフサイクルが管理されることが含まれます。ヨーロッパでは、その規格はIEC EN 61508 、または IEC EN 61508 から派生した業界固有の規格の 1 つ、または単純なシステムの場合はISO 13849などの他の規格です。
- 危険な故障の確率を判定し、最小限の冗長性レベルを確認し、システム能力 (SC) をレビューすることで、システムが割り当てられた SIL、ASIL 、PL、または agPL を満たしていることを検証します。これらの 3 つの指標は、「3 つの障壁」と呼ばれています。 [1]デバイスの故障モードは通常、システムの故障モード影響解析(FMEA) によって決定されます。各故障モードの故障確率は通常、故障モード、影響、診断解析(FMEDA)を使用して決定されます。
- 機能安全監査を実施して、製品の関連するライフサイクル段階で適切な安全ライフサイクル管理手法が一貫して徹底的に適用されたという証拠を調査および評価します。
システム全体とそれが相互作用する環境を考慮しなければ、安全性も機能的安全性も判断できません。機能的安全性は、本質的にエンドツーエンドの範囲です。現代のシステムには、安全性が極めて重要な機能を集中的に指揮および制御するソフトウェアが数多くあります。したがって、システム レベルで許容可能な安全性リスクを確保するには、ソフトウェアの機能性と正しいソフトウェア動作が機能的安全性エンジニアリングの取り組みの一部である必要があります。
機能安全の認証
コンポーネント、サブシステム、またはシステムの機能安全性に関する主張は、公認の機能安全性規格の 1 つに基づいて個別に認証される必要があります。認証された製品は、特定の安全完全性レベルまたは特定のアプリケーション範囲のパフォーマンス レベルに対して機能的に安全であると主張できます。パフォーマンスの範囲と制限を説明した証明書と評価レポートが顧客に提供されます。
認証機関
機能安全は技術的に難しい分野です。認証は、経験と深い技術的知識 (電子工学、プログラマブル電子工学、機械工学、確率解析) を持つ独立した組織によって行われる必要があります。機能安全認証は、認定を受けた認証機関 (CB) によって行われます。CB 組織には、認定機関 (AB) によって認定が与えられます。ほとんどの国には AB が 1 つあります。米国では、米国規格協会(ANSI) が機能安全認定の AB です。英国では、英国認定サービス(UKAS) が機能安全認定を提供しています。AB は、管理システム、製品、サービス、および人員認定の業務については国際認定フォーラム(IAF) のメンバーであり、ラボ試験認定については国際試験所認定協力機構(ILAC) のメンバーです。AB 間の多国間認定協定(MLA) により、認定を受けた CB は世界的に認知されます。
IEC 61508機能安全認証プログラムは、いくつかの世界的な認証機関によって確立されています。各認証機関は、IEC 61508 およびその他の機能安全規格に基づいて独自のスキームを定義しています。スキームには、参照される規格がリストされ、テスト方法、監視監査ポリシー、公開文書ポリシー、およびプログラムのその他の特定の側面を説明する手順が指定されています。IEC 61508 規格の機能安全認証プログラムは、Intertek、SGS、TÜV Rheinland、TÜV SÜD、ULなどのいくつかの公認 CB によって世界中で提供されています。
機能安全認証の重要な要素は、認証機関による継続的な監視です。ほとんどの CB 組織は、そのスキームに監視監査を含めています。フォローアップ監視により、製品、サブシステム、またはシステムが、機能安全について当初認証された内容に従って製造されていることを確認します。フォローアップ監視は、認証機関によってさまざまな頻度で行われますが、通常は、製品の現場での故障履歴、ハードウェア設計の変更、ソフトウェアの変更、およびメーカーの機能安全管理システムへの継続的な準拠を確認します。
軍事航空宇宙
軍事航空宇宙および防衛システムの場合、MIL-STD-882E は機能ハザード解析(FHA) と、ハードウェアおよびソフトウェアに実装されているどの機能が安全上重要であるかを判断することを扱っています。機能安全の焦点は、システム、サブシステム、ソフトウェア内の安全上重要な機能と機能スレッドが、機能上の障害状態や障害、設計における適切な緩和策など、安全要件ごとに正しく動作するように分析および検証されるようにすることです。機能安全の基礎となるこれらのシステム安全原則は、軍事、原子力、航空宇宙産業で開発され、その後、鉄道輸送、プロセス、制御産業に採用され、セクター固有の標準が策定されました。機能安全標準は、安全上重要な要件を扱うすべての産業セクターに適用され、特にソフトウェアが安全上重要な機能を命令、制御、または監視する場合は常に適用できます。浴室のシャワー、[2]、自動車の安全製品、センサー、アクチュエーター、ダイビング機器、[3]プロセスコントローラー[4] [5] [6]から、船舶、航空機、主要プラントへのそれらの統合まで、数千もの製品とプロセスが IEC 61508 に基づく標準を満たしています。
航空
米国FAAにも、ARP4761、ソフトウェア用のUS RTCA DO-178C、複雑な電子ハードウェア用のDO-254という同様の機能安全認証プロセスがあり、[7] [8]、航空宇宙産業全体に適用されています。民間/商業輸送航空機の機能安全と設計保証は、SAE ARP4754Aに機能設計保証レベル（FDALS）として文書化されています。システムFDALは、エンジニアリングの安全性分析の深さを決定します。許容可能なリスクを確保するために実行される厳密さのレベル（LOR）または安全性タスクは、安全性が重要な機能（SCF）に関連する特定の機能障害条件と危険の重大度の特定に依存します。多くの場合、組み込みソフトウェアの機能的動作は、信頼できる障害および故障条件下でシステムが意図したとおりに機能することを保証するために徹底的に分析およびテストされます。機能安全は、安全性に影響する複雑なソフトウェア集約型システムおよび高度に統合されたシステムに対する通常の重点的アプローチになりつつあります。従来のソフトウェア安全タスクとモデルベースの機能安全タスクは、システムの機能と安全機能が通常の障害および公称外の障害において意図したとおりに機能するという客観的な安全性の証拠を提供するために実行されます。機能安全のエントリ ポイントは、プロセスの早い段階で機能ハザード分析 (FHA) を実行して危険とリスクを特定し、安全設計要件と機能の割り当ておよび分解に影響を与えて危険を軽減することから始まります。システム レベルでのソフトウェアと SCF の動作は、あらゆる機能安全の取り組みの重要な部分です。分析と実装の結果は、機能ハザード評価 (FHA) またはシステム安全性評価または安全性ケースに文書化されます。モデルベースの機能安全プロセスは、多くの相互作用と予測される動作をすべて理解し、安全性の検証と認証プロセスを支援するために、高度に統合された複雑なソフトウェア集約型システムでよく使用され、必要とされます。
安全審査委員会
ボーイングでは、安全審査委員会 (SRB) が、問題が安全上の問題であるかどうかを決定する責任のみを負っています。SRB は、多くの分野の複数の社内専門家(SME) を集めます。最も知識のある SME が、航空安全組織の支援と指導を受けながら問題を提示します。安全に関する決定は投票で行われます。「安全」に投票すると、委員会は「安全」と決定します。[9]
空間
米国では、NASAが北米およびその他の地域で産業界に広く採用されている安全上重要なシステムのためのインフラストラクチャを開発し、標準[10]とガイドライン[11]をサポートした。NASAの標準とガイドラインはISO 12207に基づいているが、これは安全上重要な標準ではなくソフトウェア実践標準であるため、 IEC EN 61508などの目的に設計された標準を使用する場合と比較して、NASAが追加する必要のある文書は広範囲にわたる。NASAのガイドラインに従って開発されたシステムには認証プロセスが存在する。[12]
自動車
自動車業界は、 IEC 61508に基づいてISO 26262 「道路車両の機能安全規格」を開発しました。これらのシステムの認証は、関連規制への準拠を保証し、公衆の保護に役立ちます。ATEX 指令も機能安全規格を採用しており、BS EN 50495:2010「爆発リスクに関して機器の安全な機能に必要な安全装置」は、パージコントローラーや Ex e モーター回路ブレーカーなどの安全関連デバイスをカバーしています。これは、ATEX 指令の下で認定機関によって適用されます。規格 ISO 26262 は、特に自動車の開発サイクルに対応しています。これは、量産乗用車に搭載された E/E システムで機能安全を実現するための要件を定義し、ガイドラインを提供する複数部構成の規格です。ISO 26262 は、自動車の機能安全を実現するためのベストプラクティスフレームワークと見なされています。[13]従業員は、期待される能力を開発するためにトレーニングを受ける必要があるため、コンプライアンスプロセスには通常時間がかかります。
現代の機能安全規格
現在使用されている主な機能安全規格は次のとおりです。
- IEC EN 61508パート 1 ～ 7 は、あらゆるタイプの安全性が重要な E/E/PS および E/E/PS を組み込んだ安全機能を備えたシステムに広く適用される中核的な機能安全規格です。
- 英国防衛基準 00-56 第 2 版
- US RTCA DO-178C、北米航空電子ソフトウェア
- US RTCA DO-254、北米航空電子ハードウェア
- EUROCAE ED-12B、欧州航空飛行安全システム
- IEC 61513、原子力発電所 - 安全上重要なシステムの計装および制御 - EN 61508に基づくシステムの一般要求事項
- IEC 61511 -1、機能安全 - プロセス産業分野の安全計装システム - パート 1: EN 61508 に基づくフレームワーク、定義、システム、ハードウェアおよびソフトウェア要件
- IEC 61511-2、機能安全 - プロセス産業分野の安全計装システム - パート2：EN 61508に基づくIEC 61511-1の適用ガイドライン
- IEC 61511-3、機能安全 - プロセス産業分野の安全計装システム - パート3：EN 61508に基づく必要な安全度水準の決定に関するガイダンス
- IEC 62061、機械の安全性 - EN 61508に基づく安全関連の電気、電子、プログラム可能な電子制御システムの機能安全性
- ISO 13849 -1、-2、機械の安全性 - 制御システムの安全関連部分。機械の制御システムの安全性に関する技術に依存しない規格。
- EN 50126、鉄道業界特有 – プロジェクト機器の運用、システム、保守条件の RAMS レビュー
- EN 50128、鉄道業界特有 - ソフトウェア（通信、信号、処理システム）の安全性レビュー
- EN 50129、鉄道業界特有 - 電子システムにおけるシステム安全性
- EN 50495、爆発の危険性に関して機器の安全な機能に必要な安全装置
- NASA 安全重要ガイドライン
- ISO 19014、土木機械 – 機能安全
- ISO 25119、農業および林業用トラクターおよび機械 – 制御システムの安全関連部品
- ISO 26262、道路車両の機能安全
ISO 26262規格は、特に自動車開発サイクルに焦点を当てています。これは、量産乗用車に搭載されるE/Eシステムの機能安全を実現するための要件を定義し、ガイドラインを提供する複数部構成の規格です。ISO 26262規格は、自動車の機能安全を実現するためのベストプラクティスフレームワークと考えられています。[13]
参照
参考文献
- ^ Van Beurden、Iwan (2017 年 11 月)。 「安全計装機能の検証: 3 つの障壁」(PDF)。エクイダ。
- ^ 「RADA Sense - Shower T3」(PDF) 。Rada。2008年。 2011年7月15日時点のオリジナル(PDF)からアーカイブ。 2009年7月25日閲覧。
- ^ 「IEC 61508 安全ケース例: ダイビング機器」。Deep Life。2016 年 3 月 3 日時点のオリジナルよりアーカイブ。2013 年 1 月 22 日閲覧。
- ^ 「産業用 IT システム 800xA 高信頼性」 ABB。
- ^ 「IEC 61508 SIL 3 認定 RTOS」。Green Hills Software。
- ^ 「安全オートメーション要素リスト」。exida。
- ^ V. Hilderman、T. Bagha、「Avionics Certification」、DO-178B および DO-254 の完全ガイド、ISBN 978-1-885544-25-4
- ^ C. Spritzer、「デジタル アビオニクス ハンドブック、第 2 版- 2 巻セット (電気工学ハンドブック)」、CRC Press。ISBN 978-0-8493-5008-5
- ^ 嘘よ、サイモン (2014).ボーイング社のサービス安全分野。 2014年10月、オーストラリアのアデレードで開催されたISASI 2014セミナーで発表された論文。イサシ。
- ^ NASA ソフトウェア安全規格 NASA STD 8719.13A
- ^ NASA-GB-1740.13-96、NASA の安全性が重要なソフトウェアに関するガイドブック。
- ^ Nelson, Stacy (2003 年 6 月)。「安全性とミッションクリティカルな航空宇宙ソフトウェアの認証プロセス」(PDF)。NASA/CR–2003-212806。
- ^ ab "26262-1:2011". ISO . 2013年4月25日閲覧。
外部リンク
- IEC 機能安全ゾーン
- 61508.org 61508協会