「電子部品の安全な使い方セミナー」講演資料

自動車の機能安全と部品安全～ISO 26262の概要～
2015/10/21
パナソニック(株)オートモーティブ＆インダストリアルシステムズ社
技術本部 プラットフォーム技術開発センター
システム技術開発部 機能安全推進課
安倍秀二

機能安全規格とその要求

2

本質安全と機能安全• 本質安全とは、– 機械が人間や環境に危害を及ぼす原因そのものを低減、あるいは除去する• 機能安全とは、– 機能的な工夫（安全を確保する機能：以下、安全機能）を導入して、許容できるレベルの安全を確保すること• 安全機能を実行する主体を安全関連系と呼ぶ• ハードウェアだけではなく、ソフトウェアも対象に入る(ECU)

立体交差

2015/10/21

自動車の機能安全と部品安全

踏切3

機能安全規格群
親規格であるIEC61508は、プラントを中心とした電気電子機器の機能安全規格 ⇒ 分野ごとの特性に応じ派生
分野別セクター規格

医療機器
IEC62304
鉄道
IEC62278
産業機械
IEC62061

ロボット
ISO10218

親規格
IEC61508
自動車
ISO26262

航空機
JAR 1309
原子力IEC61513

電子制御モータ
IEC61800

2011年に制定。国内外のカーメーカから、規格を遵守したシステム開発が求められる。
サプライヤは、機能安全に対する備えが必要。
2015/10/21

自動車の機能安全と部品安全

4ISO 26262規格制定の背景• 自動車の電子化による機能のブラックボックス化• ECU間の連携動作や複数サプライヤ開発による複雑化• 事故で発生した人的被害・物的損害に対し、誰かが‘責任’を取らなければならない• 最終的に裁判所で‘責任’が決定される• 「機能安全」の考え方により、『被害０』を目指す• 安全性を軸に開発業務全体を見える化し、説明責任を果たすとともに、訴訟に耐え得る証拠を揃える
ECU: Electric Control Unit
2015/10/21

自動車の機能安全と部品安全

5ISO 26262規格の構成
自動車の組込み電気/電子/PEシステムの開発ライフサイクルを規定
システム、ソフト、ハードの各開発段階で、V字モデルを定義
１. 用語集２. 機能安全の管理
2-6 コンセプトフェーズ及び製品開発中の安全管理

2-5 全体的な安全管理
３. コンセプトフェーズ
3-5 アイテム定義
3-6 安全ライフ
サイク ルの 開始
3-7 ハザード分析
及びリスクアセスメント
3-8 機能安全コンセプト

2-7 アイテムの生産リリース後の安全管理

４. システムレベルにおける製品開発
4-11 生産にむけたリリース
4-5 システムレベルにおける4-10 機能安全アセスメント
製品開発の開始
4-9 安全性の妥当性検証
4-6 技術安全要求の仕様
4-8 アイテム統合及びテスト
4-7 システム設計
５. ハードウェアレベルにおける製品開発
5-5 ハードウェアレベルにおける製品開発の開始
5-6 ハードウェア安全要求の仕様
V
5-7 ハードウェア設計
5-8 ハードウェアアーキテクチャ
V
メトリックの評価
5-9 ランダムハードウェア故障によるV
安全目標侵害の評価

７. 生産及び運用
7-5 生産7-6 運用、サービス（保守と修理）及び廃棄

６. ソフトウェアレベルにおける 製品開発
6-5 ソフトウェアレベルにおける製品開発の開始
V6-6 ソフトウェア安全要求の仕様
6-7 ソフトウェアアーキテクチャの設計
6-8 ソフトウェアユニット設計と実装
V
6-9 ソフトウェアユニットテスト
6-10 ソフトウェア統合及びテスト
6-11 ソフトウェア安全要求の検証
V

5-10 ハードウェア統合と検証

8-5 分散開発のインターフェース
8-6 安全要求の仕様及び管理
8-7 構成管理8-8 変更管理8-9 検証8-10 文書化

８. 支援プロセス
8-11 ソフトエアツール使用への信頼8-12 ソフトウェアコンポーネントの認定

8-13 ハードウェアコンポーネントの認定
8-14使用実績による論証

９. ASIL指向および安全指向の分析
9-5 ASILテーラリングのための要件のデコンポジション
9-6 エレメントの共存に関する基準
9-7 従属故障の分析
9-8 安全分析
１０. ISO26262ガイドライン「機能安全規格 ISO 26262:2011 より引用」
2015/10/21

自動車の機能安全と部品安全

6

ISO 26262規格の適用範囲• 車両総重量が最大3.500kgまでの量産される乗用車に組み込まれる、安全関連システム• E/E（電気/電子）安全関連システムの機能不全のふるまいによって引き起こされる可能性のある潜在的なハザードを取り扱う• 感電、火災、発煙、熱、放射線、毒性、可燃性、反応性、腐食、エネルギーの放出および同様のハザードに関連するハザー
ドは、E/E安全関連システムの機能不全のふるまいが直接の原因でない限り取り扱わない• 機械系は、“アザーテクノロジー”として位置づけ、適用外– E/E関連機器に設定された機能安全要求をアザ-テクノロジーに配置することで、ISO 26262の適用外になる「機能安全規格 ISO 26262:2011 より引用」
2015/10/21

自動車の機能安全と部品安全

7

ハザードとリスク• ハザード（Hazard）(例)作業場所にある電気が流れている裸電線– 怪我や物理的なダメージを生じる可能性のある原因（ソース）• (例)電気が流れている100Vの裸電線• 危険事象（Hazardous event）– ハザードと運用状況が組み合わさったもの• 裸電線に素肌の腕が触れる• リスク（Risk）– 危害発生の可能性とその重大さの組合わせ• 100Vに腕が接触した場合の傷害の程度（シビアリティ）と素肌の腕が触れる可能性の積

自動車の場合自動車に内蔵されているECUの問題(ハザード)により、自動車の機能が損なわれる(機能不全)潜在リスクを取り扱う

2015/10/21

自動車の機能安全と部品安全

8

ASIL=Automotive Safety Integrity Level
常に起こる③ハザード回避の制御可能性(C)ASIL D
潜在リスク

E/Eシステムの問題により危害が起きる頻度

頻度＝曝露確率(Exposure)×制御可能性Controllability)

自動車の機能安全でのリスク低減の考え方

QM

設計上必要なリ
スク低減の幅=ASIL

社会的に許容されるリスク領域（ALARP)②ハザードの曝露確率(E)
残存リスク

リスク
①結果としての危害の大きさ(S)小さい

ASIL B

残存リスク

As受け入れ可能な
Low As Reasonably
Practicable
滅多に起こらない

ASIL CASIL A

QM
大きい

シビアリティ(Severity)

出展：日経エレクトロニクス 2011.1.11(改変)2015/10/21

自動車の機能安全と部品安全

9リスク低減のために• 安全に対するリスクに応じて安全度合を決定し、必要な安全機能（方策）を選択する– 安全度合は、安全に動作する程度– 安全機能は、リスクを許容できる水準まで低減するための機能＞

<対策例>

街中の道路
電車本数多い見通しが悪い2015/10/21

自動車の機能安全と部品安全＞
田舎道
電車本数少ない
見通しが良い10

ISO26262が要求する内容• 開発・管理活動を体系的に実施し、客観的に検証が可能な証跡を残す、仕組みを構築– 安全ライフサイクルによる安全計画の策定– 設計の根拠の提示– 検証活動の徹底– 確証方策による安全活動の客観的検証– 安全ケースによる安全論拠の提示• 機能安全プロセスの定義と遵守– 規格要求内容を含んだ機能安全プロセスの定義– 機能安全プロセスを遵守し、人的ミスの入らない開発– 十分信頼の高い設計などの再利用• 設計ミスを起こさない開発と市場で発生する可能性のある機
能安全に対するフェールセーフ
2015/10/21

自動車の機能安全と部品安全

11

機能安全と品質

品質
信頼性

機能安全

故障してはいけない

故障は起こるもの

高信頼設計
高信頼部品

故障に対するリスクの備えともに満たすことが必要
2015/10/21

自動車の機能安全と部品安全12

ISO26262の基盤
ISO26262

How
What
業界モデル
汎用モデル

概念
2015/10/21

TS16949

VDA6.3

自動車業界向け
QMS規格

ドイツ
自動車工業規格

Automotive
SPICE

CMMI Dev
開発のプロセス改善に役立つプロセスモデル

車載SW開発のプロセスモデル

ISO9001（QMS）

品質マネジメントシステムに関する規格

プロセスアプローチ、継続的改善（PDCA）
自動車の機能安全と部品安全

13機能不全とその原因

14

故障、エラー、フォールト• 故障 （Failure）– 要求された機能を実行するシステム(ECU)の能力の停止• エラー（Error、誤り）– 計算，観測又は測定された値あるいは条件と，実際の指定された又は理論的に正しい値あるいは条件との不一致• フォールト（Fault）– システムあるいは車両の故障を引き起こす可能性のある，異常な状態
システム（エンジンシステム）

フォールト
ECUの断続的機能停止
点火コイルの誤動作
ワイパ動作中のエンジン機能中断

Error故障

断続的なコイル点火

バッキング（ガクガクした動き）「機能安全規格 ISO 26262:2011 より引用」
2015/10/21

自動車の機能安全と部品安全

15

車両挙動

ISO 26262が取り扱う機能不全を引き起こす故障の種類• ランダムハードウェア故障– ハードウェア部品の故障についての確率分布に従い発生し、発生する時を予期できない故障• システマティック故障– 決定論的に発生する故障

2015/10/21

自動車の機能安全と部品安全

16

機能安全の基本的な考え方
自動車の機能不全

ハザード分析とリスクアセスメント(危険事象)

侵害

安全目標

原因

ランダムハードウェア故障
システマティック故障

 機能安全を達成すること(故障が起こっても、安全目標を侵害しない) 機能安全の達成が説明できること（安全ケース）

2015/10/21

自動車の機能安全と部品安全17

故障の原因と対策• ランダムハードウェア故障– 原因• 電気部品の確率的に発生するフォールト– 対策• 出荷後に起きることを想定• フォールトの検出と緩和の方策により、リスクを減らす• システマティック故障– 原因• 設計ミス、実装ミス、製造ミスなどのヒューマンエラー– 対策• 出荷前に対策する• プロセス又は設計方策の適用によって防止2015/10/21

自動車の機能安全と部品安全

18

機能安全実現の基本戦略• 電気/電子部品のフォールトを検出して処置し、安全状態を維持し、安全状態に遷移する• 従来のフェールセーフの考え方の発展意図した機能（IF）
センサ

コントローラアクチュエータ

故障モード

故障モード

故障モード

安全機構（SM)

検出した故障の処置・通知

意図した機能の故障検出

2015/10/21

自動車の機能安全と部品安全

19

安全ケースシステムが許容可能な程度に安全であることの正当性を主張するための構造化された論証

安全目標と他の関係する安全要求• 安全に関わる要求– 機能安全要求• 故障による安全目標違反の防止

安全論証• 安全に関わる要求の達成の論述– 安全に関わる要求と作業成果物
をヒモ付ける• 作業成果物
ISO26262作業成果物

2015/10/21

自動車の機能安全と部品安全– 論拠を裏付ける証拠としての実績

20

機能安全開発の備えと導入
開発フェーズ

開発前

開発の備え 機能安全プロセスの構築
 確証レビューの体制
 スキル認定プログラムの確立

---

---

 アイテムの定義
 H&Rの実施
 機能安全コンセプトの立案

開発

---

 安全管理者の任命
 安全計画の立案
 技術安全コンセプト
 システム設計
 ハードウェア設計
 ソフトウェア設計
 確証方策実施
 安全ケース

製造

 TS-16949あるいはVDA6.3要求の仕組み企画

2015/10/21

実開発

自動車の機能安全と部品安全 安全関連特別特性の引き継ぎと実施

21

機能安全開発の組織の備え• 機能安全プロセスの構築– ISO 26262、TS16949、AutomotiveSPICEをベースにしたプロセスの構築• 機能安全の達成を客観的に評価– 確証方策(機能安全アセスメント、機能安全監査、確証レビュー)による客観的な評価• 機能安全スキル強化とスキル認定– プロジェクトに配置する要員は、事前のスキル認定が必要

2015/10/21

自動車の機能安全と部品安全

22

電気/電子部品のフォールトとハードウェア開発

23

車載開発の特徴と機能安全
調達側

サプライヤ
サプライチェーンにより部品開発を分担

OEMやTierが部品を調達してシステムを組み立てる

システムレベルの安
全の論証

安全ケース

調達先のサプライヤーに機能安全開発を要求

それぞれの部品の安全を確保するために機能安全開発を実践

DIA
 作業成果物の範囲
 開示・提出の取り決め

部品の安全への達成を証明する証拠をまとめる

DIA:開発インタフェース協定
サプライヤA

説明

責任
責任

責任
責任責任

2015/10/21

自動車の機能安全と部品安全サプライヤレベル
安全ケース

サプライヤB
サプライヤC24

ハードウェア設計での考慮点• ハードウェアレベルのアーキテクチャ設計– 電気/電子部品のフォールトの検出と対応– モジュール化、適切な粒度、単純性• 高凝集度、低結合度• 詳細な回路設計– 故障率計算• 産業界データベースの利用(通常)– IEC62380、FIDES、SN29500– ハードウェアのアーキテクチャの評価のためのメトリクス目標(評価指標)の達成• SPFM and LFM– ランダムハードウェア故障の残存リスク評価• PMHF or メソッド2（カットセット法）

2015/10/21

自動車の機能安全と部品安全25代表的な故障率データベース「IEC/TR 62380より引用」
2015/10/21

自動車の機能安全と部品安全

26

フォールトの分類
デュアル・ポイント・フォールト(Dual Point Fault)

他の独立したフォールトが重なる（IF+SM)と安全目標侵害

低リスク

高リスク
SPF
RFDPF
Latent潜在Perceived & Detected

知覚できる(Perceived)
検出できる(Detected)

シングル・ポイント・フォールト(Single Point Fault)
単独のフォールトで安全目標侵害

残存フォールト(Residual Fault)
2015/10/21

SafeFault

安全側フォールト・安全目標を侵害しないフォールト・N>2となるマルチプルポイントフォールト

SMで処置されないSPFの残り

自動車の機能安全と部品安全

27

ハードウェアメトリクスの評価
SPFM（Single Point Fault Metric) = 1- β/α %LFM（Latent Fault Metric) = 1- δ/(α-β) %ASIL BASIL C

ASIL D

≧90%

≧97%

≧99%

ASIL B

ASIL CASIL D

≧60%

≧80%

≧90%

PMHF（Probabilistic Metric for random Hardware Failures) = β+δ fit
ASIL B

ASIL CASIL D< 100fit< 100fit< 10fit

αβ
SPF
RFDPF
Latent

Safe
Fault

Perceived & Detectedδ
2015/10/21

自動車の機能安全と部品安全28発注元の要求とサプライヤの対応
サプライヤ開発の範囲

発注元

サプライヤ

ソフトウェアを含むシステム開発

 安全目標(ASIL)
 安全要求 ISO26262に沿った開発
 DIA(開発インタフェース協定)に  安全ケースの提出よる責任分担の契約

ASICなどの複雑な構成の素子

 ISO26262に沿った開発
 安全目標(ASIL)
 故障モードの分析と情報の提 安全要求供 DIA(開発インタフェース協定)に
 安全マニュアルの提出よる責任分担の契約

複雑さの定義がなく、境界が曖昧
受動部品などの単純な素子※機能安全要求が無い場合

 明示的な機能安全要求なし
 故障モード、按分、故障率の提出要求(場合による) TS16949に沿った開発
 部品仕様の提出
 信頼性評価結果の実施

TS16949:自動車製造や関連する交換部品に携わる組織にISO 9001を適用する際の要求事項

2015/10/21

自動車の機能安全と部品安全

29

まとめ
A:これまでの“車載品質”が基本– “フェールセーフ”– “過去トラ”対応– 高信頼設計の再利用

B:定量的な品質マネジメントシステムが基本– ASILに基づく品質マネジメントシステム– 正しい作業の実施による人的ミスの防止– 客観的な証拠を残す

A

C:新規に追加される作業– 安全ケースの作成– 確証方策の実施– ハードウェア故障に対する定量的評価とソフトウェアのテスト網羅の評価

2015/10/21

自動車の機能安全と部品安全

B
車載品質C
ISO 26262

30

Q&A

2015/10/21

自動車の機能安全と部品安全31