【連載】安全設計を失敗しないために
テュフ ラインランドは、機能安全技術について40年以上前から研究をはじめ、その成果の多くが現在の規格書に採用されています。この長年の知見をもとに、世界中で数多くの機能安全認証や試験、教育などを実施してきました。
十数年にわたり、認証・評価業務、技術講師、執筆等を務めてきた機能安全認証検査員が、読者の皆さまに「失敗しない安全設計」を実現していただくために、機能安全やサイバーセキュリティの正しい理解や誤解を解くヒントなどをお伝えします。実践的な内容ですので、ぜひ業務にお役立てください。
認証プロジェクトが始まる際には、最初に作成しなければならない文書が2つあります。1つ目は安全要求仕様書（Safety Requirement Specification, 略してSRS）、2つ目は安全コンセプト（Safety Concept、略してSC）です。これらの文書は、完成形で一度に提出する必要はありません。ドラフト段階で認証機関に提出し、技術ミーティングで認証検査員と議論を進めることが一般的です。実は、認証検査員はこれまでに多くのSRSやSCを審査してきた経験から、このドラフト段階の文書でプロジェクトがスムーズに進むかどうかを判断できることがあります。つまり、認証プロジェクトがスムーズに進むかどうかは、このSRSとSCの内容に大きく依存していると言えます。
SRSは、システムの安全性要件を定義する文書です。具体的には、目標とする安全度レベルを達成したと証明するために使用する安全規格の要求内容に沿って、どのような要件が必要かを明確に定義する文書です。一方で、SCはSRSの記述要件に基づいて作成されるものです。つまり、SRSは安全目標達成のために必要となる要件を示し、SCはその要件を実現するために必要な具体的な設計仕様（回路構成、ソフトウェア言語、電源仕様、耐環境性能など）を示します。
要するに、SRSとSCは相補的な文書であり、プロジェクトがスムーズに進むためには、どちらの文書も適切かつ明確に作成する必要があります。そして、ドラフト段階での文書を認証検査員との議論を通じて問題点を早期に発見し、修正することが重要です。最終的には、完成形のSRSとSCを提出し、認証検査員による総合評価を受けることになります。
「認証検査」＝「実機テスト」という誤認識
一般的には、認証検査と言えば実機テストや環境試験を想像しがちですが、実際の認識は違います。認証検査員が最も重視するのは、SRSやSCの記述内容です。これらの記述内容が正しければ実機テストで問題が発生することはないであろうと考えています。つまり、実機テストは、何が起こるかを検証する実験ではなく、SRSやSCの考え方が正しいかどうかを証明する試験だと考えるべきなのです。実機テストで問題が発生した場合、それはSRSやSCの作成段階での考えが不十分だったということになります。認証検査の工程の中で、SRSやSCの作成段階が最も重要であると認識するべきです。
SRS と SC 作成のポイント
SRSは、設計者以外の人々に対し設計者が意図しているシステム・製品について、正確にそして分かりやすく説明する文書です。まず書き出しは、このシステムは何であるかの説明です。名称や用途、システム全体の一部であるかなどの紹介から始める必要があります。そして目標安全レベル、適合させる安全規格、動作モード、使用環境、使用電源、制限事項、などを記述します。
SCは、SRSの内容に基づきそれらの要件を具現化する方法を表現する文書です。全体の構成（ハード・ソフトのアーキテクチャ）、診断方法、動作タイミング、プログラミング言語、電源仕様、など具体的な設計仕様を記述します。
SRSとSCの具体的な記述方法については、当社のブログや認証検査員にお聞きになればお教えします。これらの文書を作成する上で大切なことは、「設計者以外の人々が理解できるかどうか」ということです。そのためには、文章の完全性、論理性、理解容易性、可読性、が求められ図や表を多用することが必要です。また、ドラフト段階から文書のリビジョン管理をしっかり行い、改訂履歴をきっちり管理することも非常に重要です。この管理がいい加減だと途中で認証検査員が混乱し、プロジェクトが遅延したり、問題点を見逃したりする原因になります。
SRSやSCが適切に作成されていれば、プロジェクトの半分以上は終了したも同然です。一方、見落としや不十分な文書である場合、実機テストや環境試験で問題が明らかになり、大幅な設計のやり直しが必要になることがあります。このような問題を避けるためには、上記の認識を持ち、設計者自身の機能安全知識をトレーニングなどで向上させることが大切です。
執筆：テュフ ラインランド機能安全 認証検査員
【これまでの連載記事】
- 実践版、機能安全とサイバーセキュリティ ～認証検査員の視点～
- 機能安全トレーニングは認証取得への早道「急がば回れ」
- 機能安全の認証取得のポイントは「受け身」ではなく「積極的な主張」
- 「この設計はどのようにすれば良いですか？」という質問はなぜNG？
- 認証検査員はこんなことを考えている
機能安全エンジニア資格トレーニングコース（フライヤーPDF）
👇機能安全 IEC 61508についてわかりやすく解説しています。出典：「計測技術」(2016年10月号) 日本工業出版株式会社
機能安全 IEC 61508 について＜要求のポイントと認証プロセス＞（１/３）
機能安全 IEC 61508 について（２/２）
機能安全 IEC 61508 について（３/３）
お問い合わせ：カスタマーサービス（TEL: 045-470-1850 E-Mail: info@jpn.tuv.com）
更新日 : 5/22/2023
photo by Dragonfly Ave on Unsplash