KYB技報

第50号

2015―４

技術紹介

EPS開発におけるISO 26262対応への取組み
石１

末人によりシステムの安全性を確保する」という考え方

はじめに

ISO 26262とは，2011年11月に国際規格として発行された自動車向けの機能安全規格である．規格の対象は，車両総重量が3,500㎏までの量産される乗用車に適用される電気・電子（以下E/E）システムである．
KYBで開発を行っている電動パワーステアリング（以下EPS）システムは，自動車の ３ つの基本機
能 注1）の １ つである「曲がる」を担っており，要求される安全性のレベルも非常に高い．そのためシステムの安全性確保は，開発における最重要課題として位置付けられている．
本報ではEPS開発におけるISO 26262対応への取り組みについて報告する．
注１）「走る，曲がる，止まる」の ３ つの機能．

２

郁ISO 26262規格の概要

2. １ 規格制定の背景
高機能化，複雑化するE/Eシステムが自動車に与える影響は増大しており，小さな １ つの電子部品のをとっており，正しく動作することを求める品質とは異なる概念である．
注 ２ ）危険な事象.

2. ３ 規格の構成
ISO 26262は用語集，ガイドライン含め全10Partから構成されており，開発に直接関わるプロセスは，Part3のコンセプトフェーズからスタートする（図１ ）．Part3で導出されるコンセプト（車両）レベルの安全要求は，製品開発フェーズへと伝達される．
製 品 開 発 フ ェ ー ズ で は， 伝 達 さ れ た 安 全 要 求 をPart4のシステムレベル，Part5のハードウェアレベル，Part6のソフトウェアレベルまで順に詳細化し，それらの安全要求を達成するための設計活動が実施される．
Part3は車両レベルの活動となるため，自動車メーカが実施するのが一般的である．システム設計を担当するKYBにおいては，Part4が主に対応する範囲となり，それ以降のPart5，Part6は協力会社へ開発依頼することが多い．

故障が大事故の原因となることも考えられる．また
分散開発が主流となり，グローバル化する調達体制の中で，各社個別の対応だけで自動車全体の安全性を確保するには限界がある．
グローバルで共通化された安全指標であるISO26262は，それらの対策として策定された．
2. ２ 機能安全の考え方「機能安全」という言葉は，英語の「FunctionalSafety」の日本語訳であり，規格において「E/Eシステムの機能不全のふるまいにより引き起こされるハザード注2）が原因となる，不合理なリスクの不在」と定義されている．すなわち，車載E/Eシステムの故障によるリスクを社会的に受け入れられるレベルまで低減することが求められる．
また「機能，部品が故障したとしても，安全機構― 113 ―

図１

開発に直接関わるプロセス

EPS開発におけるISO 26262対応への取組み

2. ４ 要求される安全性レベルとASIL
E/Eシステムに要求される安全性レベルはASIL注3）
により定義され，開発から生産，影響があれば廃棄まで含め，自動車のライフサイクル全体を通して管理される．システムの機能不全により引き起こされる各ハザードは表 １ に示す ３ つの指標により評価され，「A」から「D」の ４ つのASILレベルに分類される（図 ２ ）．
E/Eシステムの開発において，ASILレベルに応じたプロセスの適用，安全の機能性能，品質目標といった基準を達成することが求められる．
表１
シビアリティ

説明
機能不全が引き起こす障害の大きさ（重傷，軽傷など）

曝露の確率

動 作 状 況 の 頻 度（高 速 走 行をする状況など）

コントローラビリティ

危険を回避できる可能性（ほとんどのドライバが危険を回避可能など）

EPSシステムの代表的なハザードの １ つにセルフステア注4）がある．車の走行中にセルフステアが発生すると，車の進む方向をドライバがコントロールすることが困難となり，車線の逸脱，大きな事故に至る危険性が高くなる．そのためEPSシステムでは，最も厳しいASIL Dでの開発が顧客より求められている．

図２

3. １ 規格で要求されるプロセス
機能安全を達成するためには，正しく開発を行うための基準，開発プロセスの構築が組織として必要となる．規格に準拠した機能安全プロセスに加え，そのベースとしてISO 9001やISO/TS 16949といった品質管理プロセス（以下QMS）が要求される．
3. ２ 活動方針の決定
当部の所属する岐阜北工場の開発では，従来からスとした機械製品が大半を占めており，E/Eシステ
ム の 開 発 は そ れ ほ ど 多 く な い． そ の た め 既 存 のQMSは機械製品の開発に重点が置かれており，E/Eシステム，特にソフトウェア開発の観点において十分でないことが明らかになった．
そこで規格対応の活動方針として，ISO 26262に対応する新たな「機能安全マニュアル」と，既存のQMSをE/Eの観点で補完し，システム開発の全体を定義する「E/E開発要領」の構築を同時に進めることを決定した．図 ３ に規格で要求されるプロセスと構築する社内プロセスの関連を示す．

図３

 格で要求されるプロセスと構築する社内プロ
規
セス

3. ３

機能安全プロセスの構築

3.3. １ 機能安全プロセスの構造
新たに定義した機能安全マニュアルは，機能安全の活動を規定する最上位に位置する文書であり，そASILのレベルとリスク，求められる安全性こから具体的な活動を定義した「規則・要領」，作成する成果物の「帳票・記述方法」，実際の活動成果となる「作業成果物」が順に参照される．これら

注 ３ ）Automotive Safety Integrity Levelの略．
自動車の安全度水準のこと．
注 ４）ドライバの意志に関係なく，車のハンドルが勝手に切れてしまう事象．

ISO 26262対応プロセスの構築

ISO/TS 16949に準拠したQMSを運用している．規格対応の課題を明確にするため，まず始めにこの既存のQMSとISO 26262とのギャップ分析を行った．
岐阜北工場で開発される製品は，油圧技術をベーASILの決定指標

指標３は図 ４ に示すピラミッド構造となっている．
3.3. ２ E/E開発要領の作成
E/E開発要領では「既存のQMSで不足していたソフトウェア開発の観点」の補完に加え，機能安全― 114 ―

KYB技報第50号

2015―４

図６
図４

機能安全プロセスの構造

WGの活動マニュアルの要求を盛り込み，機能安全対応のE/Eシステムを開発するために必要なタスクをすべて定を整備している（図 ６ ）．
3. ４ アセスメントとプロセス改善
開発製品を機能安全に対応させる目的は安全なシ義している．
各タスクでは「開始と終了の条件」，「入力と出力の文書」，「実施する活動内容」，「役割と責任」を明確にしている．図 ５ に定義したE/E開発要

ステムを開発することである．そのため定義したプ
ロセスを実際の開発に適用し，またそのプロセスが有効に機能していることを検証することが重要とな領の一部を示す．

る．
そのため実際の開発プロジェクトにおいて，プロセスの適用状況，成果物を評価し，その結果をプロセスの改善にフィードバックする仕組みを構築している（図 ７ ）．評価は規格で要求されているアセスメントに準拠する観点で行い，客観性を持たせるため外部コンサルタント会社の協力を得ながら定期的に実施している．
また客観性を持ったアセスメントを社内で実施するため，他部署によるアセスメント体制の構築，社内アセッサーの教育にも力を入れている．

図５

定義したE/E開発要領

3.3. ３ 技術検討とガイドラインの整備
規格の要求を実行するためには，規格特有の概念，手続きの理解に加え，様々な技術的な解釈も必要となる．そこで部内に技術的な検討を行うワーキンググループ（以下WG）を立ち上げ，既存のEPSシステムを題材として，実際に規格で要求される成果物の検討，作成を行った．前述した通りKYBでの活図７

動は規格Part4のシステム設計が中心となるが，上流の車両レベルでどのような検討がなされるのかを改善サイクル把握することは，それ以降の活動を正しく実施するために重要と考えられる．そこでWGの活動は，Part3及びPart4をメインの対象範囲として実施した．

3. ５ 機能安全の教育
機能安全にかかわる業務の担当者は，規格の要求を正しく理解し，実践することが求められる．そのための教育の仕組みも重要となる．KYBでは社内一方で実際の開発担当者がプロセスを正しく，かつ効率的に実施するためには，プロセスの適用をサポートするガイドライン類の存在が欠かせない．

で機能安全教育のプログラムを作成，担当する業務内容により受講が必要な教育を定義している．実際の機能安全対応のプロジェクトにおいてプロジェク

WGでの活動成果をガイドライン，チェックリストとして登録することで，効率的な開発ができる環境トリーダが担当者を任命する際には，機能安全教育の受講記録を含め「必要な機能安全関連業務を遂行― 115 ―EPS開発におけるISO 26262対応への取組みする能力を有していること」の確認を実施している． トレーサビリティ情報の管理が要求されている．これらの情報は「表計算ソフト」を利用するなどの方

４

要求管理ツールの導入

規 格Part3で 導 出 さ れ た 安 全 要 求 は， 以 降 の 各フェーズで詳細化される．これらの安全要求は不変ではなく，実際の開発において様々な要因から変更されることが頻繁に起こる．要求が変更された際には，変更が影響を及ぼす範囲，見直しが必要な活動，成果物を正確に特定する必要が生じる．そのため規格において，安全要求，各成果物に対して双方向の法で管理することができるが，管理する情報量が膨大となり，情報が複雑な関連性を持っている場合には限界がある．これらの情報を管理するためには，要求管理ツールと呼ばれる専用のツールが必要となる．専用ツールを利用した要求管理イメージを図 ８に示す．
KYBにおいても要求管理ツールの導入が現在進められており，現場導入のための運用ルールづくり，マニュアルの整備を行っている．

５

おわりに規格の発行を受け，各社プロセスへの対応は勿論のこと，新たな安全機能，技術の開発を加速させて

図８

著いる．また規格の求める安全は絶対的なものではな
く，社会情勢，技術の進歩にともない変化していく．
最近では運転を自動化する「自動運転車」の開発も盛んに行われており，ステアリングシステムに求められる安全機能も大きく変化していくことが予想される．
これらの環境変化に対応していくため，構築したプロセスを活用しながら継続した技術開発を行っていく必要がある．

専用ツールによる要求管理イメージ者 石末郁人

1997年入社．オートモーティブコ
ンポーネンツ事業本部 ステアリング技術部．電動パワーステアリングの設計，開発に従事．

― 116 ―