機能安全と業界標準

ISO 26262は、道路車両の電気/電子システムの機能安全に関する国際標準です。2018年に発行された第2版は、乗用車、トラック、バス、特殊車両、およびオートバイに適用されます。

各開発プロジェクトは、ハザード分析およびリスクアセスメント（HARA）から始まり、これにより安全関連機能の自動車用安全度水準（ASIL）が決定されます。ASILはA（残存リスクが最も低い）からD（残存リスクが最も高い）までの範囲があり、安全非関連ソフトウェアについては品質管理（品質管理のみ）が適用されます。

検証要件はASILに応じて段階的に設定されます。ASIL Dでは、ステートメント、分岐、およびMC/DCのカバレッジがすべて要求されるほか、双方向の要件トレーサビリティと構造化された単体テストも求められます。ASILレベルが低いほど、カバレッジ基準や推奨される手法は段階的に緩和されます。

DO-178C『航空機搭載システムおよび機器の認証におけるソフトウェアに関する考慮事項』は、商用ソフトウェアベースの航空宇宙システムの承認に関する主要な標準です。RTCAとEUROCAEが共同で発行したこの標準は、2012年にDO-178Bに取って代わりました。

DO-178Cでは、開発保証レベル（DAL）として、A（壊滅的な故障結果）からD（軽微な結果）までが定義されています。開発プロセスの核心となるのは、要件ベースのアプローチであり、高レベル要件および低レベル要件から、ソースコード、実行可能オブジェクトコード、テストケース、プロシージャ、結果に至るまで、完全な双方向のトレーサビリティが確保されています。

レベルAのソフトウェアでは、すべての決定事項についてMC/DCカバレッジが求められます。これは、あらゆる標準の中でも最も厳しい構造的カバレッジ要件の一つであり、VectorCASTのMC/DC自動化機能の重要な原動力となっています。

IEC 61508は、プログラマブルエレクトロニクスシステムの機能安全に関する基礎的な国際標準です。この標準は、工場制御システム、化学プラントのプロセスオートメーション、および業界固有の標準の対象外となるその他の安全関連のプログラマブルシステムを含む、産業用アプリケーションを規定しています。

IEC 61508は7つのパートで構成されています。パート3ではソフトウェア要件を扱い、検証および妥当性確認を含むソフトウェアの安全ライフサイクルを定義しています。この標準では、SIL 1からSIL 4までの安全度水準（安全度水準）が定義されています。SIL 2以上では、認定ツールの使用が強く推奨されています。SIL 3およびSIL 4では、実質的に準拠のために必須となります。

また、IEC 61508は、ISO 26262、EN 50716、およびその他のいくつかの業界固有の標準の基礎となっています。

IEC 62304は、医療デバイスのソフトウェアライフサイクルプロセスを規定しています。この規格では、ソフトウェアコンポーネントを3つの安全クラスに分類しています。クラスA（負傷や損害の可能性がない）、クラスB（軽微な負傷の可能性がある）、クラスC（重篤な負傷や死亡の可能性がある）です。

検証要件はクラスに応じて異なります。クラスCのソフトウェアには、構造的カバレッジ測定を伴う単体テストや要件のトレーサビリティなど、最も厳格な検証活動が求められます。患者の安全に影響を及ぼす可能性のあるソフトウェアコンポーネントはすべて、適切に特定、分類、および検証されなければなりません。

EN 50716:2023は、鉄道用途における安全上重要なエレクトロニクスシステム向けのソフトウェアを規定する規格であり、EN 50128:2011およびEN 50657:2017に取って代わるものです。この規格はIEC 61508に基づいており、鉄道のシグナリング、コントロール、保護、および車両用途の特定の要件に合わせて調整されています。 ソフトウェア完全性レベル（SIL）は、SIL 0 から SIL 4 まであります。SIL 4 では、MC/DC カバレッジが要件です。

IEC 60880:2006は、原子力発電所においてカテゴリーAの安全機能を行う、コンピュータベースの計装・制御システム用のソフトウェアを対象としています。本標準は、ソフトウェアライフサイクルのすべての活動に関する要件を規定しており、その適用範囲はIEC 61508の第3部に類似しています。検証要件には、要件に基づくテスト、MC/DCを含む構造的カバレッジ測定、およびソフトウェアライフサイクル全体にわたる文書化されたトレーサビリティが含まれます。