機能安全とは（Functional Safety）
安全は RTOS だけで決まりません。RTOS・ドライバ・ミドルウェアまで、ソフトウェアスタック全体で成立させる設計を、SIL／ASIL・規格・故障の考え方とあわせて整理します。
機能安全とは
機能安全（functional safety）とは、監視装置や防護装置などの付加機能によってリスクを許容可能なレベルまで低減する安全方策です。IEC 61508 は「電気・電子・プログラマブル電子（E/E/PE）安全関連系などの正常な機能に依存する安全」と定義しています。
本質安全（危険源そのものを除去）と対比されます。踏切で例えるなら、立体交差化が本質安全、警報機・遮断機の設置が機能安全にあたります。事故の可能性をゼロにはできなくても、機能や装置の働きで危険を許容範囲まで下げる考え方です。
監視・防護機能も故障しうるため、故障してもリスクが小さくなるよう制御する（フェイルセーフ）こと、ハード/ソフトに故障やバグが入り込むのを防ぐこと、それを文書・アセスメント・監査で第三者に説明できるようにする（機能安全マネジメント）ことが、全ライフサイクルで求められます。
リスク低減の3ステップ
ハザード（危険源）の特定 → リスク見積り → 評価の結果、許容できないリスクは次の手順で低減します。
安全度（Safety Integrity Level）
安全度とは「安全関連系が、規定の期間・条件下で、規定の安全機能を果たす確率」。規格ごとに等級が定義されます。
| 規格 | 安全度の指標 | 最高位 |
|---|---|---|
| IEC 61508 | SIL 1〜4（Safety Integrity Level） | SIL 4 |
| ISO 26262（車載） | ASIL A〜D（Automotive SIL） | ASIL D |
| EN 50128（鉄道） | SIL 0〜4 | SIL 4 |
| IEC 62304（医療） | Class A / B / C | Class C |
安全機能（safety function）は「特定の危険事象に対し、安全な状態を達成・保持する機能」。例：プリクラッシュシステム、エアバッグ。ISO 26262 では「安全機構（safety mechanism）」という用語を用います。
故障の種類と障害の考え方
| 区分 | 内容 | 対策の例 |
|---|---|---|
| ランダムHW故障 | 部品の経年劣化・摩耗による偶発故障 | 高信頼部品・診断・冗長 |
| システマティック故障 | 設計・仕様・実装に起因する系統的故障（バグ等） | プロセス管理・検証・認証 |
| ソフトエラー | 中性子線・電磁波等によるメモリ化け | ECC・冗長・再実行 |
障害の多重度：IEC 61508 は単一障害を対象。機械安全 ISO 13849 や車載 ISO 26262 は二重障害まで、鉄道では三重障害まで考慮する例も。設計では電磁両立性（EMC）、合理的に予測できる誤使用、予期しないスタート/ストップなども考慮します。
セーフティクリティカルシステムの特徴
障害・故障時に人命・重大傷害・環境破壊など壊滅的被害を招きうる領域。絶対的な信頼性が求められます。
主な対象分野：交通・輸送（航空フライトコントロール、鉄道信号、車載ブレーキ/自動運転）、医療機器（人工呼吸器、ペースメーカ、放射線治療）、エネルギー（原子力制御、化学プラント緊急停止）、防衛。
機能安全はソフトウェアスタック全体で（RTOS・ドライバ・ミドルウェア）
機能安全は「安全RTOSを使えば済む」ものではありません。安全機能は アプリケーション → ミドルウェア → ドライバ → ハードウェア というソフトウェアスタック全体で成立します。安全関連の処理が通る経路のすべてが、対象の安全度（SIL／ASIL）に見合った開発・検証・エビデンスを備えている必要があります。
① RTOS（カーネル）
タスクスケジューリングと、MPU/MMU による Freedom from Interference（干渉排除） を提供し、非安全タスクが安全タスクのメモリ・時間資源を侵さないよう分離します。ただしカーネルが安全でも、その上で動くドライバ・ミドルウェアが安全でなければ安全機能は成立しません。
② ドライバ（デバイスドライバ／BSP）
ハードウェアに最も近い層。センサ・ADC入力の妥当性チェック（レンジ／プラウジビリティ）、通信のCRC、起動時・実行時の セルフテスト（CPU・RAM・ROM/フラッシュ）、割込み遅延の管理などを担います。ドライバの欠陥は、安全カーネルの上でも安全データを直接壊しうるため、カーネルと同じ安全度で開発・検証する必要があります。
③ ミドルウェア（通信スタック・プロトコル等）
車載・産業通信（CAN／CAN FD／LIN／FlexRay／Automotive Ethernet／CANopen／J1939）は安全関連信号を運びます。End-to-End（E2E）保護（AUTOSAR E2E）や ブラックチャネル（IEC 61784-3／PROFIsafe 等）の考え方で、CRC・シーケンスカウンタ・タイムアウトにより データ完全性を経路全体で保証します。通信路自体は非安全（ブラックチャネル）でも、両端の安全レイヤで守るのが定石です。ファイルシステム・USB・TCP/IP・GUI も、安全機能の経路に入るなら相応の開発厳格度が要ります。
④ セキュリティ（safety と一体）
改ざん・なりすましは安全に波及するため、セキュアブート・署名検証・TLS 等の セキュリティと機能安全は一体で設計します（security-informed safety）。
まとめ：安全RTOS（分離・スケジューリング）＋ 安全なドライバ（HW診断・セルフテスト）＋ 安全な通信ミドルウェア（E2E／ブラックチャネル）。この 3層すべてを安全度に合わせて揃えて初めて、システムとして機能安全を主張できます。当社は各層の対応製品と、統合・検証の受託開発で全体をご支援します。
主な機能安全規格
| 規格 | 分野 |
|---|---|
| IEC 61508 | E/E/PE の機能安全（基本規格・全分野の親） |
| ISO 26262 | 自動車（車載 E/E システム） |
| IEC 62061 / ISO 13849 | 機械類の機能安全 |
| IEC 62278 / EN 50128 | 鉄道（RAMS／ソフトウェア） |
| IEC 61513 | 原子力 |
| IEC 62304 | 医療機器ソフトウェア |
| DO-178C | 航空（機載ソフトウェア） |
| ISO 15998 / IEC 60335 | 土工機械／家電 |
規格適合には一般にギャップ・アセスメント（差分分析）を用い、規格要求と自社の規定・開発エビデンスとの差分を明らかにして埋めていきます。
機能安全に対応する取扱製品
事前認証済みの安全RTOS、認証版コンパイラ、タイミング解析、マルチコア安全デバッグなどを取り揃えています。