IEC61508 規格

IEC 61508 は、国際電気標準会議(IEC)によって発行された国際規格であり、安全関連システムと呼ばれる自動保護システムの適用、設計、展開、保守の方法で構成されています。その名称は「電気/電子/プログラム可能な電子安全関連システム( E/E/PE、またはE/E/PES ) の機能安全」です。

IEC 61508 は、すべての業界に適用される基本的な機能安全規格です。機能安全は次のように定義されています。「E/E/PE 安全関連システム、その他の技術安全関連システム、および外部リスク低減設備が正しく機能することに依存する、EUC (制御対象機器) および EUC 制御システムに関連する全体的な安全性の一部」。基本的な概念は、すべての安全関連システムが正しく機能するか、予測可能な (安全な) 方法で故障する必要があるということです。

この標準には 2 つの基本原則があります。

1. 設計上の誤りや漏れを発見して排除するために、ベストプラクティスに基づいて安全ライフサイクルと呼ばれるエンジニアリングプロセスが定義されます。
2. デバイスの障害による安全への影響を考慮するための確率的障害アプローチ。

安全ライフサイクルには 16 のフェーズがあり、おおよそ次の 3 つのグループに分けられます。

1. フェーズ1～5のアドレス分析
2. フェーズ6～13は実現に取り組む
3. フェーズ 14 ～ 16 では操作について説明します。

すべてのフェーズはシステムの安全機能に関係しています。

この規格は 7 つの部分から構成されています。

• パート1～3には標準規格の要件が記載されています（規範的）
• パート4には定義が含まれています
• パート 5 ～ 7 は開発のためのガイドラインと例であり、参考になります。

この規格の中心となるのは、各安全機能の確率的リスクの概念です。リスクは、危険なイベントの頻度 (または可能性) とイベントの結果の重大性の関数です。リスクは、E/E/PES、関連する機械装置、またはその他のテクノロジーで構成される安全機能を適用することで、許容レベルまで低減されます。多くの要件がすべてのテクノロジーに適用されますが、特にパート 3 では、プログラム可能な電子機器に重点が置かれています。

IEC 61508 では、リスクについて次のような見解を示しています。

• リスクをゼロにすることは決してできない。確率を減らすことしかできない。
• 許容できないリスクは低減する必要がある（ALARP）
• 安全ライフサイクル全体に取り組むことで、最適かつ費用対効果の高い安全性が実現します。

特定の技術により、ライフサイクル全体にわたって間違いやエラーが回避されます。最初のコンセプト、リスク分析、仕様、設計、設置、保守から廃棄に至るまでのどこかで発生したエラーは、最も信頼性の高い保護さえも台無しにする可能性があります。IEC 61508 は、ライフサイクルの各フェーズで使用する必要がある技術を規定しています。IEC 61508 の第 1 版の 7 つのパートは、1998 年と 2000 年に発行されました。第 2 版は 2010 年に発行されました。

この規格では、特注システムに対して危険性とリスクの評価を実行することが求められています。「特定された危険事象ごとに、EUC (制御下にある機器) のリスクを評価または推定する必要があります。」

この規格では、「定性的または定量的なハザードおよびリスク分析手法を使用できる」とアドバイスしており、さまざまなアプローチに関するガイダンスを提供しています。その 1 つは、ハザードの定性的分析のためのもので、発生可能性の 6 つのカテゴリと結果の 4 つのカテゴリに基づくフレームワークです。

発生可能性のカテゴリー

結果のカテゴリー

これらは通常、リスククラスマトリックスにまとめられます。

どこ：

• クラス I: いかなる状況でも受け入れられません。
• クラス II: 望ましくない: リスクの軽減が実行不可能な場合、またはコストが得られる改善に比べて著しく不釣り合いな場合にのみ許容されます。
• クラス III: リスク低減のコストが改善を上回る場合は許容可能。
• クラス IV: 現状のままでも許容範囲ですが、監視が必要になる場合があります。

安全度水準( SIL) は、各安全機能の達成目標を示します。リスク評価の取り組みにより、各安全機能の目標 SIL が算出されます。特定の設計では、達成された SIL は次の 3 つの基準で評価されます。

1. 設計品質の尺度である体系的能力 (SC)。設計内の各デバイスには SC 評価があります。安全機能の SIL は、使用されるデバイスの最小の SC 評価に制限されます。SC の要件は、パート 2 とパート 3 の一連の表で示されています。要件には、適切な品質管理、管理プロセス、検証および検証手法、障害分析などが含まれており、最終システムが必要な SIL を達成していることを合理的に正当化できます。

2. アーキテクチャ制約。これは、ルート 1h とルート 2h という 2 つの代替方法によって提示される、安全性の冗長性の最小レベルです。

3. 危険側故障確率解析^[1]

上記のステップ 3 で使用される確率メトリックは、機能コンポーネントの需要が高いか低いかによって異なります。

• 高い需要は年間 1 回以上と定義され、低い需要は年間 1 回以下と定義されます (IEC-61508-4)。
• 連続的に動作する機能 (連続モード) または頻繁に動作する機能 (高需要モード) の場合、SIL は危険な障害の許容頻度を指定します。
• 断続的に動作する機能（低需要モード）の場合、SIL は機能が要求に応じて応答できない許容確率を指定します。

機能とシステムの違いに注意してください。機能を実装するシステムは頻繁に動作している可能性があります (エアバッグを展開するための ECU など)。ただし、機能 (エアバッグの展開など) は断続的に要求される可能性があります。

認証とは、製品、プロセス、またはシステムが認証プログラムのすべての要件を満たしていることを第三者が証明することです。これらの要件は、認証スキームと呼ばれる文書に記載されています。IEC 61508 認証プログラムは、認証機関(CB) と呼ばれる公平な第三者組織によって運営されています。これらの CB は、ISO/IEC 17065 や ISO/IEC 17025 などの他の国際標準に従って運営することを認定されています。認証機関は、認定機関(AB) によって監査、評価、およびテスト作業を実行することを認定されています。多くの場合、各国に 1 つの国家 AB があります。これらの AB は、適合性評価機関を認定する際の認定機関の能力、一貫性、および公平性に関する要件を含む標準である ISO/IEC 17011 の要件に従って運営されています。AB は、管理システム、製品、サービス、および人員の認定に関する作業については国際認定フォーラム (IAF) のメンバーであり、研究所の認定については国際研究所認定協力機構 (ILAC) のメンバーです。 AB 間の多国間承認協定 (MLA) により、認定された CB は世界的に承認されます。IEC 61508 認証プログラムは、いくつかの世界的認証機関によって確立されています。各機関は、IEC 61508 およびその他の機能安全規格に基づいて独自のスキームを定義しています。このスキームには、参照される規格がリストされ、テスト方法、監視監査ポリシー、公開文書ポリシー、およびプログラムのその他の特定の側面を説明する手順が指定されています。IEC 61508 認証プログラムは、exida、Intertek、SGS-TÜV Saar、TÜV Nord、TÜV Rheinland、TÜV SÜD、ULなど、いくつかの公認 CB によって世界中で提供されています。

ISO 26262は、自動車電気/電子システム向けのIEC 61508を改良したものであり、大手自動車メーカーに広く採用されています。^[2]

ISO 26262 が発表される前は、安全関連の自動車システム向けソフトウェアの開発は、主に自動車業界ソフトウェア信頼性協会 (MISRA) のガイドラインでカバーされていました。^[3] MISRA プロジェクトは、道路車両の電子システムに組み込まれたソフトウェアを作成するためのガイドラインを開発するために考案されました。 ^[3]車両ベースのソフトウェア開発に関する一連のガイドラインは、1994 年 11 月に公開されました。^[4]この文書は、当時登場しつつあった IEC 61508 規格の原則に対する自動車業界初の解釈を提供しました。 ^[3]

現在、MISRAはC言語とC++言語の使用方法に関するガイドラインとして最も広く知られています。^[5] MISRA Cは、安全性に関連する業界の大多数で組み込みCプログラミングの事実上の標準となり、安全性が主な考慮事項ではない場合でもソフトウェアの品質を向上させるために使用されています。

IEC 62279は、鉄道アプリケーション向けのIEC 61508の特定の解釈を提供します。通信、信号、処理システムを含む鉄道制御および保護用のソフトウェアの開発をカバーすることを目的としています。EN 50128とEN 50657は、IEC 62279と同等のCENELEC規格です^。[6]

プロセス産業部門には、製油所、石油化学、化学、製薬、パルプおよび製紙、電力など、多くの種類の製造プロセスが含まれます。IEC 61511 は、計測機器の使用を通じて産業プロセスの安全性を確保するシステムのエンジニアリングの実践を規定した技術規格です。

IEC 61513は、原子力発電所の安全にとって重要なシステムの計装と制御に関する要件と推奨事項を規定しています。これは、従来の有線機器、コンピュータベースの機器、または両方のタイプの機器の組み合わせを含むシステムの一般的な要件を示しています。原子力発電所に特有の安全基準の概要リストは、ISOによって公開されています。^[7]

IEC 62061 は、機械に特化した IEC 61508 の実装です。あらゆる種類の機械安全関連の電気制御システムのシステム レベル設計、および複雑でないサブシステムまたはデバイスの設計に適用可能な要件を提供します。

IEC 61508 に従って記述されたソフトウェアは、達成する必要のある SIL に応じて、ユニット テストを行う必要がある場合があります。ユニット テストの主な要件は、ソフトウェアが機能レベルで完全にテストされ、ソフトウェアを通じてすべての可能な分岐とパスが実行されることを確認することです。一部のSIL レベルが高いアプリケーションでは、ソフトウェア コード カバレッジ要件がはるかに厳しく、単純な分岐カバレッジではなく、 MC/DC コード カバレッジ基準が使用されます。MC/DC (修正条件/決定カバレッジ) カバレッジ情報を取得するには、ソフトウェア モジュール テスト ツールと呼ばれることもあるユニット テスト ツールが必要です。

• 機能安全
• 安全基準
• FMEDA
• 偽トリップレベル
• タイムトリガーシステム（IEC 61508準拠を達成するために用いられるソフトウェアアーキテクチャ）
• ソフトウェアの品質

• ISO 26262 （IEC 61508 ^[1]を若干の違いを伴って改訂したもの^[2]）
• IEC 60730 ^[3] (家庭用)
• DO-178C (航空宇宙)

• W. Goble、「制御システムの安全性評価と信頼性」（第 3 版ISBN 978-1-934394-80-9、ハードカバー、458 ページ）。 
• I. van Beurden、W. Goble、「安全計装システムの設計 - 技術と設計検証」(第 1 版ISBN 978-1-945541-43-8、430ページ)。 
• MJM Houtermans、「SIL と機能的安全性の要点」(Risknowlogy ベスト プラクティス、第 1 版、PDF、ePub、iBook 形式の電子書籍、40 ページ) SIL と機能的安全性の要点 - SIL と機能的安全性を紹介する電子書籍
• M. Medoff、R. Faller、「機能安全 - IEC 61508 SIL 3 準拠の開発プロセス」(第 3 版、ISBN 978-1-934977-08-8ハードカバー、371 ページ、www.exida.com) 
• C. O'Brien、L. Stewart、L. Bredemeyer、「安全計装システムの最終要素 - IEC 61511 準拠システムおよび IEC 61508 準拠製品」(第 1 版、2018 年、ISBN 978-1-934977-18-7、ハードカバー、305 ページ、www.exida.com) 
• ミュンヒ、ユルゲン。オーヴェ、アームブラスト。ソト、マルティン。コワルチク、マーティン。 「ソフトウェア プロセスの定義と管理」、Springer、2012 年。
• M.Punch、「鉱業における機能安全 - AS(IEC)61508、AS(IEC)62061、AS4024.1 を使用した統合アプローチ」(第 1 版、ISBN 978-0-9807660-0-4、A4 ペーパーバック、150 ページ)。 
• D.Smith、K Simpson、「セーフティクリティカルシステムハンドブック：機能安全、IEC 61508（2010年版）およびプロセスIEC 61511、機械IEC 62061、ISO 13849を含む関連規格のわかりやすいガイド」（第3版ISBN 978-0-08-096781-3、ハードカバー、288ページ）。 

• IEC 61508-1:2010 電気/電子/プログラム可能な電子安全関連システムの機能安全性 - パート 1
• 国際電気標準会議における「IEC 61508」
• IEC機能安全ゾーン
• 61508 協会 IEC 61508 および関連規格への準拠を証明するための信頼性が高くコスト効率の高い方法を実現することに関心を持つ業界の組織グループ。