IEC61508　様々な機能安全規格の"親"規格について - スマートシティ/モビリティ

需要が高まっているIEC61508

IEC 61508はさまざまな機能安全規格の“親”規格として幅広い市場で長い歴史があります。機能安全が浸透している自動車市場では自動運転やEVに見られる新しいテクノロジーに対して、安全性の基準として自動車向け機能安全規格ISO 26262が活用されています。自動運転やEVでは、求められる安全性の高さから、従来の他のシステムよりも手厚い冗長設計がなされています。この冗長設計に対する信頼性ブロック図（RBD）を使用した安全論証や共通原因故障に対する定量的な評価などは、専用の”子”規格であるISO26262には記載されておらず、“親”規格IEC61508を参照することになります。

また、昨今では産業機器においてもAGVやAMR、ファクトリーオートメーションなどのテクノロジーの進化が著しく、その際の安全性の基準としてISO3691-4などの個別の”子”規格が適用されています。専用の”子”規格であっても、複雑なソフトウェアを採用したコンポーネントに対しては、“親”規格IEC61508を参照することになります。

長い歴史がある規格ではありますが、冗長化やソフトウェアの複雑化により、需要が高まっているトレンドもあることから改めてIEC 61508について解説いたします。

機能安全”親”規格IEC61508策定の背景

さまざまな産業分野で電子制御が活用されるようになり、インシデントやハザードの増加が課題となっていました。複雑なシステム（複雑なHW/半導体、複雑なSW）に対しては、「評価/テストを完全に実施する」、だけでは不十分で、体系的に安全を確保する方法論が必要となります。

インシデントやハザードの原因を分析した結果、対策として以下の3つの観点が重要であることがわかりました。

1.人に対する教育

設計/開発、運用、保守に携わる人員が、それぞれのリスクとその対処方法を十分に理解していることが必要です。定期的なトレーニングや資格認定制度を通じ、責任範囲の明確化や人為的ミス（システマチック故障）の減少を目指します。品質管理（QM）のルールをそのまま活用することが多いです。

2.組織の開発ルール（プロセス）の確立

システムやソフトウェアの開発において、標準化された開発プロセスを整備し、レビュー・テストを行います。プロジェクトマネジメントやアセスメントのプロセスを確立し、組織全体で品質や安全を実現する文化を醸成していきます。

3.システムの安全機能の設計・実装

故障を検知・制御する安全機能やフェイルセーフ設計、冗長化といった技術的対策が必要となります。安全機能の適用後、ハザードの発生確率が十分に低減できたことを故障率で説明していきます。機能安全の製品開発プロジェクトでは、もっとも工数をかけて対応します。

IEC61508は、これらの背景を踏まえ、電気・電子・プログラマブル電子安全関連システム（E/E/PE安全関連システム）における機能安全を包括的に扱う規格として定められました。

IEC61508を親規格とする子規格群

IEC61508のコンセプトは、さまざまな産業の要件にあわせて再解釈・拡張され、各分野に特化した子規格へ引き継がれています。

IEC61511（プロセス産業向け）
化学プラントや石油・ガス関連施設など、プロセス産業における安全システムに特化した規格。
IEC62061（機械安全向け）
工作機械や産業用ロボットなど、機械分野における安全システムを対象とした規格。欧州の機械規則に対応するために、リスク評価やSILに適合するために使用される。
ISO26262（自動車向け）
IEC61508の考え方をベースとし、自動車特有の要件や開発プロセスに適用した規格。
EN50126/EN50128/EN50129（鉄道システム向け）
鉄道の信号システムや制御システムにおける安全を扱う規格群。

IEC61508と代表的な子規格ISO26262との比較

IEC61508は子規格に適用される際、対象の製品分野にあわせて様々な変更がなされています。IEC61508に適合した開発ルールをそのまま適用しても子規格に準拠することはできないため、改めて規格適合活動が必要となります。

IEC61508（汎用機能安全規格）とISO26262（自動車の機能安全規格）
IEC61508（汎用機能安全規格）	ISO26262（自動車の機能安全規格）
人及び/又は環境の安全に影響する事象	人の健康に対する身体的な障害または損害（環境への物質の流出などは含まない）
Safety Integrity Level（SIL）　SIL 1 　SIL 2（SIL 2と表記する慣習あり）　SIL 3（SIL 2+と表記する慣習あり）　SIL 4（航空宇宙、原子力など）	Automotive Safety Integrity Level（ASIL）　ASIL A 　ASIL B 　ASIL C 　ASIL D 　なし（ASIL E は大型車向けに検討されたが、乗用車より明確なリスクの上昇がなかったため、不採用）

故障率による安全議論
IEC61508（汎用機能安全規格）	ISO26262（自動車の機能安全規格）
危険側機能失敗時間平均確率 PFD	なし
時間平均危険側故障頻度 PFH	ランダム HW 故障の確率的メトリック PMHF
安全側故障割合 SFF	シングルポイントフォールトメトリック SPFM
なし	レイテントフォールトメトリック LFM

AIを使用した安全機能についての記載
IEC61508（汎用機能安全規格）	ISO26262（自動車の機能安全規格）
NR（Not recommended） AIを含んだ安全要求にSILを付与しないようなシステムアーキテクチャとするなど工夫が必要	3rd Edition で言及予定現行規格では特に禁止等の記載なし

SGSジャパンのIEC 61508向けサービス

SGSジャパンではIEC 61508への取り組みに対してワンストップソリューションを提供いたします。以下が代表的なサービスとなりますが、お客様の状況に応じて柔軟にサービスのご提案と実施をいたします。

‐　トレーニング（IFSP TUEV資格認定トレーニング）
‐　プロセス構築支援
‐　プロジェクト適用支援
‐　認証サービス（開発プロセス/製品）
‐　課題別単発Q＆Aワークショップ

パートナーシップ　：株式会社マクニカとSGSジャパン株式会社

マクニカとSGSジャパンは、それぞれの業態の親和性が高いことから協力関係を築くことになりました。マクニカの多岐に渡る活動範囲に対して、SGSジャパンの試験/分析/認証サービスがカバーします。このことにより、各市場における開発現場において上流から下流まで網羅的にサポートが可能となります。お客様のあらゆるお困りごとに関して2社がシームレスにサポートをいたします。

SGSジャパン株式会社　：スイスを本社に置く世界有数の試験・検査・認証会社。品質や高潔性の面でも国際的な水準として認められています。99,600人の従業員が2,600のオフィスとラボのネットワークを運営し、より良い、より安全な、より相互接続された世界の実現を目指しています。

IEC61508　認証取得済みのリアルタイムOS

マクニカで取り扱っております QNX® OS for Safety は IEC 61508 の安全度水準 3 （SIL 3）の認証を取得しています。

非常に厳しい機能安全が要求されるミッションクリティカルなシステムに実装できる認証済みプラットフォームをシステム開発者に提供します。

詳細情報などご希望の方は以下 URL からお問い合わせください。

QNX - スマートシティ/モビリティ - マクニカ

サイト内検索

需要が高まっているIEC61508