SCIOPTA Safety Kernel

カーネルの実装より、付属する成果物が期間を決める

安全認証で工数を消費するのは、カーネルのコードそのものではなく、要求・設計・検証・妥当性確認の各成果物と、それらのトレーサビリティです。認証済みカーネルを採用する主目的は、この成果物一式（安全マニュアル、認証報告書、証明書）を自前で作らずに済ませることにあります。選定時は、対象規格・水準に加えて「どの成果物がどの形式で付属するか」を必ず確認してください。

安全マニュアルの読み方

認証済みカーネルには、必ず使用条件（Safety Manual に記載される前提条件・制約）が付きます。割込み優先度の扱い、使用してよい API、禁止される構成、アプリケーション側で実施すべき検証などが列挙されており、これを外れると認証の前提が崩れます。評価の初期段階で入手して、自社の設計方針と矛盾しないかを確認するのが安全です。

干渉排除（Freedom from Interference）

安全機能と非安全機能を同一プロセッサに同居させる場合、メモリ・実行時間・通信の3方向で相互不干渉を論証する必要があります。MPU/MMU によるパーティション分離と、タイミング面の証拠（実行時間の実測）が求められます。カーネル選定と同時に、この論証をどう作るかを決めておいてください。

よくある判断ミス

「まず無償カーネルで作り、認証が必要になったら差し替える」という進め方は、API 互換であってもプロセス面の作り直しが発生します。認証の要否は、アーキテクチャを決める前に確定させるのが結果的に最も安く済みます。