ISO 26262 (自動車機能安全)

road vehicle の E/E(電気・電子)システムの機能安全を定める多部構成の標準。汎用機能安全 IEC 61508 の自動車派生(初版 2011、第2版 2018)。安全臨界認証の自動車版。

ASIL — リスクで厳格度が決まる

Automotive Safety Integrity Level。A(最小)→ D(最大) の4段階。安全要求が無いものは QM(Quality Management のみ)。

ASIL は3要素の組み合わせで決まる:

→ S × E × C でハザードごとに ASIL を割り当て、レベルに応じた最小要求が決まる(ASIL D ≈ DO-178C の DAL A に相当する最厳格)。

管理 → 開発 → 生産 → 運用 → サービス → 廃棄、の全段階をカバーし、活動を tailoring(取捨選択)できる。多部構成(例: Part 5 ハードウェア、Part 6 ソフトウェア、Part 9 ASIL 指向解析)。

ISO 26262 固有の重要概念。1つの安全要求を、十分に独立した複数の要素へ冗長に振り分けることで、各要素に要求される ASIL を下げる。

ASIL D の要求
  → 独立な2要素へ分解: ASIL B(D) + ASIL B(D)
    (各要素は ASIL B の厳格度で作ればよいが、合わせて D を担保)

成立条件は十分な技術的独立性(共通原因故障で両方が同時に壊れないこと)。独立でなければ分解は無効。

ASIL も「上」から来る。HARA (Hazard Analysis and Risk Assessment) が item(対象システム)のハザードを洗い出し S×E×C で ASIL を割り当てる。エンジニアリングの中核はその後の安全機構:

安全状態 (safe state) — 故障を検知したら倒す先(例: モーターを切る、縮退運転)。「壊れない」でなく「壊れたら安全側へ」。
フォールトトレラント時間間隔 (FTTI) — 故障発生から危害に至るまでの猶予。この時間内に検知して安全状態へ遷移できれば安全。
SEooC (Safety Element out of Context) — 完成車を前提せず部品単体を「想定 ASIL」で作り、後で文脈に適合させる。汎用部品(やコンパイラ・ランタイム)の現実的な作り方。

つまり ISO 26262 が要求するのは無故障ではなく、故障を時間内に検知し安全状態へ倒すアーキテクチャ。システム安全はアーキテクチャで作るの好例。