26262 規格

ISO 26262 は、「道路車両 - 機能安全」と題され、量産道路車両（モペットを除く）に搭載される電気および/または電子システムの機能安全に関する国際規格であり、2011年に国際標準化機構（ISO）によって定義され、2018年に改訂されました。

機能安全機能は、仕様から設計、実装、統合、検証、妥当性確認、生産開始まで、自動車製品開発の各段階の不可欠な部分を形成します。ISO 26262 規格は、自動車電気/電子システムの機能安全規格IEC 61508を改良したものです。ISO 26262 は、自動車の電子および電気安全関連システムのライフサイクル全体にわたって適用される自動車機器の機能安全を定義します。

2011年11月11日に発行された第1版（ISO 26262:2011）は、最大総重量3500kgの「量産乗用車」に搭載される電気および/または電子システムに限定されていました。 2018年12月に発行された第2版（ISO 26262:2018）では、適用範囲が乗用車からモペットを除くすべての道路車両に拡大されました。^[1]

この規格は、車両の電子システムおよび電気システムの誤動作によって引き起こされる可能性のある危険に対処することを目的としています。この規格は「道路車両 - 機能安全」と題されていますが、電気および電子システムの機能安全だけでなく、システム全体またはその機械的サブシステムの機能安全にも関連しています。

親規格であるIEC 61508と同様に、 ISO 26262 はリスクベースの安全規格であり、危険な運用状況のリスクが定性的に評価され、体系的な障害を回避または制御し、ランダムなハードウェア障害を検出または制御したり、その影響を軽減したりするための安全対策が定義されています。

ISO 26262の目標:

• 自動車の安全ライフサイクル (管理、開発、生産、運用、サービス、廃止) を提供し、これらのライフサイクル フェーズで必要なアクティビティのカスタマイズをサポートします。
• 開発プロセス全体の機能安全の側面（要件仕様、設計、実装、統合、検証、検証、構成などのアクティビティを含む）をカバーします。
• リスク クラス (自動車安全度水準、ASIL)を決定するための自動車固有のリスクベースのアプローチを提供します。
• 許容可能な残留リスクを達成するためにアイテムに必要な安全要件を指定するために ASIL を使用します。
• 十分かつ許容可能なレベルの安全性が達成されていることを確認するための検証および確認措置の要件を規定する。^[2]

ISO 26262:2018 は 12 のパートで構成され、10 の規範パート (パート 1 から 9 および 12) と 2 つのガイドライン (パート 10 および 11) があります。^{[引用が必要]}

1. 語彙
2. 機能安全の管理
3. コンセプトフェーズ
4. システムレベルでの製品開発
5. ハードウェアレベルでの製品開発
6. ソフトウェアレベルでの製品開発
7. 生産、運用、サービス、廃止
8. サポートプロセス
9. 自動車安全度水準（ASIL）指向および安全性指向の分析
10. ISO 26262に関するガイドライン
11. ISO 26262の半導体への適用に関するガイドライン
12. ISO 26262のオートバイへの適応

比較すると、ISO 26262:2011 はわずか 10 の部分で構成され、名前が若干異なります。

• 第7部は生産と運営とだけ名付けられました
• パート 10 は、ガイドラインではなくガイドラインと名付けられました。
• パート11と12は存在しませんでした。

ISO 26262は、規格のすべての部分で適用される用語、定義、略語の語彙（プロジェクト用語集）を規定しています。^[1] 特に重要なのは、障害、エラー、故障の慎重な定義です。これらの用語は、機能安全プロセスの規格の定義の鍵となるため、^[3]特に「障害はエラーとして現れる可能性があり、エラーは最終的に故障を引き起こす可能性がある」という点を考慮すると重要です。 ^[1]結果として生じる危険な影響を伴う誤動作は、機能安全の損失を意味します。

アイテム

この規格では、アイテムが重要な用語です。 アイテムは、ISO 26262 安全ライフサイクルが適用される特定のシステム (またはシステムの組み合わせ) を指し、車両レベルで機能 (または機能の一部) を実装します。つまり、アイテムはプロセス内で最も高いレベルで識別されるオブジェクトであり、この規格に基づく製品固有の安全性開発の出発点となります。

要素

システム、コンポーネント(ハードウェア部品および/またはソフトウェア ユニットで構成)、単一のハードウェア部品、または単一のソフトウェア ユニットのいずれか、つまり、システム内で明確に識別および操作できるものすべて。

故障

要素またはアイテムの障害を引き起こす可能性のある異常な状態。

エラー

計算、観察、または測定された値または状態と、実際の、指定された、または理論的に正しい値または状態との間の不一致。

失敗

障害の兆候により、要素または項目の意図された動作が終了すること。

フォールトトレランス

1 つ以上の指定された障害が存在する場合に、指定された機能を提供する能力。

機能不全の動作

設計意図に反するアイテムの故障または意図しない動作。

危険

アイテムの誤動作によって引き起こされる潜在的な危害（身体的傷害または健康被害） 。

機能安全

電気/電子システムの誤動作によって引き起こされる危険による不当なリスクが存在しない。

注:他の機能安全規格や更新されたISO 26262:2018とは対照的に、システム内で起こり得るすべての障害を把握することは不可能であると想定されていたため、フォールトトレランスはISO 26262:2011では明示的に定義されていませんでした。^[4]

注: ISO 26262では、 IEC 61508の用語である安全故障率(SFF)は使用されていません。代わりに、単一点故障メトリックと潜在的故障メトリックという用語が使用されています。^[5]

ISO 26262は自動車アプリケーションの機能安全管理の標準を提供し、組織全体の安全管理の標準と個々の自動車製品の開発と製造の安全ライフサイクルの標準を定義しています。 ^{[6] [7] [8] [9]} 次のセクションで説明するISO 26262安全ライフサイクルは、次の安全管理の概念に基づいて機能します。^[1]

危険なイベント

危険な事象とは、車両レベルの危険と車両の運転状況の適切な組み合わせであり、ドライバーのタイムリーな行動によって制御されなければ事故につながる可能性があります。

安全目標

安全目標とは、1 つ以上の危険なイベントのリスクを許容レベルまで低減することを目的として、システムに割り当てられる最上位レベルの安全要件です。

自動車安全度水準

自動車安全度水準( ASIL) は、自動車特有のリスクに基づく安全目標の分類と、その目標の達成を保証するために標準で要求される検証および確認手段を表します。

安全要件

安全要件には、すべての安全目標と、安全目標からハードウェアおよびソフトウェア コンポーネントに割り当てられた機能的および技術的な安全要件の最低レベルまで分解されたすべてのレベルの要件が含まれます。

ISO 26262安全ライフサイクル内のプロセスは、危険（安全リスク）を特定して評価し、それらのリスクを許容レベルまで低減するための特定の安全要件を確立し、それらの安全要件を管理および追跡して、納品された製品でそれらが達成されているという合理的な保証を生成します。これらの安全関連プロセスは、従来の品質管理システムの管理された要件ライフサイクルと統合されているか、並行して実行されていると見なすことができます。^{[10] [11]}

1. アイテム(特定の自動車システム製品) が識別され、その最上位レベルのシステム機能要件が定義されます。
2. 当該アイテムに関して、包括的な一連の危険なイベントが特定されています。
3. 各危険事象にはASILが割り当てられます。
4. 安全目標は、危険の ASIL を継承して、各危険イベントごとに決定されます。
5. 車両レベルの機能安全コンセプトは、安全目標を保証するシステム アーキテクチャを定義します。
6. 安全目標は、より低いレベルの安全要件に洗練されます。
   (一般に、各安全要件は、その親安全要件/目標の ASIL を継承します。ただし、制約に従って、十分に独立した冗長コンポーネントによって実装される冗長要件に要件を分解することにより、継承された ASIL が低下する場合があります。)
7. 「安全要件」は、アーキテクチャ コンポーネント(サブシステム、ハードウェア コンポーネント、ソフトウェア コンポーネント)に割り当てられます
   (一般に、各コンポーネントは、割り当てられた安全要件の最高の ASIL に対して提案/要求される標準およびプロセスに準拠して開発する必要があります)。
8. 次に、割り当てられた安全性 (および機能) 要件に従ってアーキテクチャ コンポーネントが開発され、検証されます。

ISO 26262 は、安全ライフサイクル プロセスをサポートするが、すべてのフェーズを通じて継続的にアクティブな統合プロセスの目標を定義し、一般的なプロセス目標の達成をサポートする追加の考慮事項も定義します。

• 分散開発におけるすべてのサプライヤーへの目標、要件、および制御のフローダウンのための制御された企業インターフェース
• 安全ライフサイクル全体にわたる安全要件とその管理の明確な仕様
• 作業成果物の構成管理。構成の正式な一意の識別と再現性を備え、依存する作業成果物間の追跡可能性と構成のすべての変更の識別を実現します。
• 検出された欠陥の除去を保証するため、また危険をもたらさない製品変更のために、安全要件に対する変更の影響の管理を含む正式な変更管理。
• 作業成果物の検証の計画、管理、報告（レビュー、分析、テスト、検出された欠陥の原因への回帰分析を含む）
• 機能安全と安全性評価の継続的な管理を容易にするために、安全ライフサイクルのすべてのフェーズを通じて作成されたすべての文書（作業成果物）を計画的に識別および管理します。
• ソフトウェア ツールへの信頼 (意図された用途と実際の用途に対するソフトウェア ツールの適格性)
• 以前に開発されたソフトウェアおよびハードウェアコンポーネントを現在開発中のASIL項目に統合するための認定
• 対象とするASILでの使用においてアイテムが十分に安全であることが証明されていることを主張するためにサービス履歴証拠を使用する

自動車安全度水準とは、自動車システムまたはそのようなシステムの要素に内在する安全リスクの抽象的な分類を指します。ASIL分類は、ISO 26262内で特定の危険を防止するために必要なリスク低減レベルを表すために使用され、ASIL Dは最高の危険レベルを表し、ASIL Aは最低の危険レベルを表します。特定の危険に対して評価されたASILは、その危険に対処するために設定された安全目標に割り当てられ、その目標から派生した安全要件に継承されます。^[12]

ASILの決定は、ハザード分析とリスク評価の結果です。^[13] ISO 26262の文脈では、ハザードは、システムに関連する危険な影響の相対的な影響に基づいて評価され、それらの影響が現れるハザードの相対的な可能性に合わせて調整されます。つまり、各危険なイベントは、車両が危険発生の可能性にさらされる相対的な時間と、一般的なドライバーが傷害を防ぐために行動できる相対的な可能性の文脈内で、起こり得る傷害の重大性の観点から評価されます。^[14]

安全ライフサイクルの開始時に、危険分析とリスク評価が実行され、特定されたすべての危険なイベントと安全目標に対する ASIL の評価が行われます。

各危険事象は、それが引き起こすと予想される 傷害の重大度(S)に応じて分類されます。

重大度分類（S）：

S0 負傷なし

S1 軽度から中等度の損傷

S2 重度から生命を脅かす（生存の可能性が高い）傷害

S3 生命を脅かす（生存が不確実）から致命的な傷害まで

リスクマネジメントでは、起こりうる傷害の重大性に関する考慮は、傷害が起こる可能性によって変わることを認識しています。つまり、特定の危険に対して、起こる可能性が低い危険な出来事は、リスクが低いとみなされます。この規格の危険分析とリスク評価プロセスでは、傷害を引き起こす危険の可能性は、以下の組み合わせに従ってさらに分類されます。

暴露（E）（傷害が発生する可能性のある作業条件の相対的な予想頻度）および

制御（C）（ドライバーが傷害を防ぐために行動できる相対的な可能性）。

暴露分類（E）：

E0 あり得ない話

E1 非常に低い確率（まれな動作条件でのみ傷害が発生する可能性がある）

E2 低確率

E3 中程度の確率

E4 高確率（ほとんどの動作条件下で傷害が発生する可能性がある）

制御可能性分類 (C):

C0 一般的に制御可能

C1 簡単にコントロール可能

C2 通常制御可能（ほとんどのドライバーは怪我を防ぐために行動できる）

C3 制御が困難または制御不能

これらの分類では、自動車安全度水準 D の危険事象 (略してASIL D ) は、生命を脅かす (生存が不確実) または致命的な傷害を引き起こす合理的な可能性があり、傷害がほとんどの運転条件で物理的に起こり得るものであり、運転者が傷害を防ぐために何かをできる可能性がほとんどない事象と定義されます。つまり、ASIL D はS3、E4、および C3 分類の組み合わせです。これらの分類のいずれかが最大値から 1 つ減少するごとに (C1 から C0 への減少は除く)、ASIL がDから 1 レベル減少します。^[15] [たとえば、仮想的な制御不能 (C3) 致命的傷害 (S3) の危険は、その危険が非常に低い確率 (E1) である場合、ASIL A に分類できます。] Aより下の ASIL レベルは最低レベルのQMです。QM は、 ASIL Aより下では安全性との関連性がなく、標準的な品質管理プロセスのみが要求されるという規格の考え方を指します。^[13]

これらの重大性、露出、および制御の定義は、規範的なものではなく参考情報であり、事実上、さまざまな自動車メーカーや部品サプライヤー間の主観的な変動や裁量の余地を残しています。^{[14] [16]}これに対応して、自動車安全技術者協会（SAE）は、特定のハザードに対する露出、重大性、および制御可能性を評価するためのより明確なガイダンスを提供するために、 J2980 – ISO26262 ASILハザード分類の考慮事項を発行しました。^[17]

• 自動車安全度水準、他の安全水準システムとの比較
• ARP4754 (民間航空機およびシステムの開発ガイドライン)
• DO-178C (航空宇宙)
• IEC 61508 （工業/一般、ISO 26262は若干の違い^[19]を伴う適応^[18]）
• ISO 60730 ^[20]（家庭）

• ISO 26262-1:2011(en) (道路車両 - 機能安全 - パート 1: 用語) - ISO オンライン ブラウジング プラットフォーム (OBP)
• ISO 26262-1:2018(en) (道路車両 - 機能安全 - パート 1: 用語) - ISO オンライン ブラウジング プラットフォーム (OBP)