ホーム / 用語集 / 機能安全の用語

機能安全の用語

機能安全の議論では、規格ごとに似た言葉が別の意味で使われます。特に「認証」「準拠」「対応」は混同されやすく、誤って使うと商談でも監査でも問題になります。ここでは規格上の意味を整理します。

この分野の用語（12語）

ISO 26262 が定める自動車向けの安全度水準。A から D の4段階で、D が最も厳しい要求です。危害の重大度（S）・暴露確率（E）・回避可能性（C）の組み合わせで、機能ごとに決定します。

IEC 61508 が定める安全度水準。1 から 4 の4段階で、4 が最も厳しい要求です。産業機器では SIL2〜3、鉄道（EN 50128）では SIL4 が要求されることがあります。ASIL とは尺度が異なるため、単純な読み替えはできません。

医療機器ソフトウェアの分類。危害の可能性に応じて A・B・C に分かれ、C が最も厳しくなります。クラスによって要求されるプロセスと文書が変わります。

安全度の異なる機能を同一プロセッサに同居させる際、低い安全度の機能が高い安全度の機能を侵さないことを示す要求です。メモリ・実行時間・情報交換の3方向で論証する必要があり、MPU/MMU による分離とタイミングの実測が典型的な手段になります。

事前認証済みソフトウェアに付属する、開発ライフサイクルの成果物一式。要求仕様・設計文書・検証記録・トレーサビリティなどを含みます。認証工数の大半はこれらの整備であるため、付属範囲が期間を大きく左右します。

認証済み製品を安全に使うための使用条件書。使ってよい API、割込み優先度の扱い、禁止される構成、利用者側で実施すべき検証などが列挙されます。これを外れると認証の前提が崩れるため、評価初期に入手して自社設計と照合すべき文書です。

製品そのものが、対象規格のライフサイクルで開発され、第三者認証機関の評価を受けている状態を指します。「その製品を使えば最終製品が自動的に認証される」という意味ではありません。最終製品の適合性は、あくまで組み込んだ側の責任範囲です。

システムの逸脱を体系的に洗い出す危険源分析手法。「ない」「多い」「逆」といったガイドワードを設計意図に当てて、想定外の振る舞いを網羅的に検討します。

FMEA は個々の故障モードから影響を積み上げるボトムアップ手法、FTA は望ましくない事象から原因を分解するトップダウン手法です。両者は補完関係にあり、機能安全開発では併用されます。

最悪実行時間に対して、期限までにどれだけ余裕があるかを示す指標。ASIL C/D では立証を求められる場面があり、計装のオーバーヘッドが許容されない場合は非侵襲のハードウェアトレースで実測します。

1つのハードウェア上で複数のOSを分離して動かす層。組込みでは、安全認証されたRTOSと汎用Linuxを同居させ、汎用側が停止しても安全側に波及させない構成に使われます。

MPU は領域単位のアクセス保護、MMU は仮想アドレス変換と保護を行うハードウェアです。干渉排除の論証では、どちらでどこまで分離できるかが前提条件になります。

規格の版によって要求が変わる用語、OEM 固有の解釈が入る用語もあります。適用予定の規格版とご要件をお知らせいただければ、具体的な解釈をご説明します。