機能安全とは

THEME 07 テスト・信頼性 · 品質と規格Functional Safety

← 06THEME 07 テスト・信頼性08 →

機能安全とは、電気・電子・プログラマブル電子（E/E/PE）制御の機能を新たに付け加えることで、リスクを下げる措置です。 部品の丈夫さに加えて、危険を検知して安全な側へ倒す仕組みが要になります。半導体はこの見張る側の部品にあたるため、壊れにくさに加えて壊れ方と、その根拠の書類までが問われます。

この定義は、厚生労働省委託の機能安全活用テキスト¹が採用している平成28年厚生労働省告示第353号「機能安全による機械等に係る安全確保に関する技術上の指針」の用語です。

本質安全は危険源を消し、機能安全は危険源を見張る

ロボットの可動部が隙間を作る場合、その隙間を人体寸法以上の広さに保つ構造にすれば、挟まれるという危険源そのものがなくなります。これが本質安全です。ボイラーなら、蓄えるエネルギーが爆発に至る量より小さい状態にあたります。

挟圧状態を検出してロボット可動部の出力を制御したり、圧力や温度をもとにボイラーの燃焼を制御したりする方法が機能安全です。危険源そのものを抑えるのではなく、危険源のリスクの大きさを調節するアプローチで¹、危険源は残ったまま、電子回路とソフトウェアがそれを見張ります。そのため機能安全を使う安全制御系の設計では、リスクアセスメントが重要な役割を担います。

ロボット可動部の挟まれ対策

本質安全は隙間を人体寸法以上に保って危険源そのものをなくします。機能安全は狭い隙間を残したまま、挟圧を検出して可動部の出力を制御します。

見張る側の回路が気づかないうちに壊れると、危険はそのまま通り抜けます。安全機能が「故障がリスクの増加に直ちにつながるような機械の機能」と定義されているのはこのためです。条件によっては、非安全関連システムの不具合が、少なくとも危険側には安全関連システムに影響しないことを証明する必要もあります¹。機能安全の話が信頼性試験の先まで続くのも、壊れたときにどちらへ倒れるかが問われるからです。

安全機能を決め、水準を決め、それを満たすように作る

機能安全の設計は3段で進みます。まず要求安全機能の特定で、リスクアセスメントを行い、事故を防ぐためにどのような安全機能が要るかを決めます。ボイラーなら、空焚きが起きたときに燃料を遮断するリミッターなどです。次に、安全機能を実行する安全関連システムの信頼性の基準である要求安全度水準を決め、その指標には安全機能が作動に失敗する確率を使います。最後に、その水準に応じた作動失敗の確率の基準を満たせるよう、制御装置を設計し、製造します。

要求安全度水準は、要求パフォーマンスレベル（PLr）なら5段階、安全度水準（SIL）なら4段階で示され、水準が高いほど安全関連システムが受け持つリスク低減量を大きくしなければなりません¹。分野ごとの規格は、車載向けがISO 26262、産業機器やロボット向けがIEC 61508、家電向けがIEC/UL60730です。機械類では、IEC 61508シリーズをもとにしたIEC 62061と、機械類の安全関連部の安全性を定めたISO 13849-1を必要に応じて適用できます。

SILは1段上がるごとに、許される失敗が1桁減る

安全度水準（SIL）は、安全関連システムの信頼性の水準を表す区分です。安全機能ごとに目標失敗尺度を割り当て、作動要求の頻度が低いモードでは作動要求当たりの機能失敗平均確率（PFDavg）を、高頻度作動要求または連続モードでは危険側失敗の平均頻度（PFH）を使います。

安全度水準（SIL）	低頻度作動要求モードのPFDavg	高頻度作動要求または連続運転モードのPFH［1/h］
SIL1	10⁻²以上 10⁻¹未満	10⁻⁶以上 10⁻⁵未満
SIL2	10⁻³以上 10⁻²未満	10⁻⁷以上 10⁻⁶未満
SIL3	10⁻⁴以上 10⁻³未満	10⁻⁸以上 10⁻⁷未満
SIL4	10⁻⁵以上 10⁻⁴未満	10⁻⁹以上 10⁻⁸未満

SILごとのPFHの範囲

対数軸の上で、SIL1からSIL4までが1桁ずつの区間を占めます。水準が1段上がるごとに、許される危険側失敗の頻度は10分の1になります。

SIL4のPFHは1時間あたり10のマイナス9乗の水準で、単純な計算では、およそ11万年に1回という頻度にあたります。目標失敗尺度はFMEDA（故障モード・影響・診断解析）で求め、安全度水準は危険側故障確率と共通原因故障確率の合計で決まります。冗長にした2系統が同じ原因で同時に壊れれば、二重にした意味がなくなるためです。冗長化や診断を足して初めて届く水準もあり、ハードウェアの構成によって届く水準の上限も決まります。

半導体メーカーが渡すのは、素子と根拠の書類

テキサス・インスツルメンツは、機能安全への準拠には系統的な故障とランダムなハードウェア故障の両方に対処する必要があるとし²、システムレベルの認証を完了するには、機能安全向けのFITレートやFMEDAといった部品レベルの書類が要るとしています。機器メーカーの認証は、部品メーカーの書類の上に組み上がります。

ロームは2015年からISO 26262のプロセス構築を始め、2018年3月にドイツの第三者認証機関TÜV RheinlandからISO 26262の開発プロセス認証を取得しました³。2018年12月に改訂されたISO 26262 2nd Editionでは、半導体パートが新たに追加されたとしています。同社では、ISO 26262プロセスに対応するための作業成果物を機能安全管理者が作成・管理し、全成果物をデータベースで一元管理して客先に対応しています。

その作業成果物は、同社の2021年10月時点の区分で、管理12種、システム11種、ハードウェア14種、ソフトウェア17種、生産13種、支援プロセス27種、安全分析7種です⁴。ハードウェアの14種より支援プロセスの27種のほうが多いことが、この体系の性格を表しています。並ぶのは安全計画、構成管理計画書、文書化管理計画、ソフトウェアツールの認定報告書といった、作り方と記録の管理に関わる成果物です。

この負担についてルネサスエレクトロニクスは、要件を満たしたシステムを設計して認証を受けるには多大な労力と時間が必要で、既存の非安全システム開発に比べてコストが増え、製品リリースが遅れるリスクを持つとしています⁵。

「機能安全対応」の中身は、カテゴリで3通りに分かれる

ロームは自社の機能安全製品を3つのカテゴリに分け、それぞれで提供できる資料を公開しています。

提供資料	FS process compliant	FS mechanism implemented	FS supportive
IATF 16949プロセス対応	対応	対応	対応
ISO 26262プロセス対応	対応	──	──
FMEA	対応	対応	対応
FIT	対応	対応	対応
FMEDA	対応	対応	対応（※）
Safety manual	対応	対応	──

※FS supportiveのFMEDAは、ハードウェアアーキテクチャメトリック等の分析を除いた範囲です。

FS process compliantはASILレベルに準拠したISO 26262対応プロセスで開発したIC、FS mechanism implementedはASILレベルに必要な安全機構を搭載したIC、FS supportiveは車載向けに開発し安全分析のサポートが可能なICです。同社は現在、自動車分野のみに対応しているとしています。3つの区分で違うのは渡される根拠の範囲で、素子そのものの丈夫さは同じです。この表を読めるかどうかで、「機能安全対応品」という言葉から受け取れる情報が変わります。

故障率は、製品と使い方の組で決まる

ロームの品質・信頼性ハンドブック⁶が使うミッションプロファイルは、半導体デバイスが製品寿命を通して受ける温度・湿度・温度変化・通電状態などの負荷条件と、時間の関係をまとめたものです。

動作温度保証範囲がTj = −40℃〜150℃、市場稼働15年（累積通電時間12000時間）という仕様の製品でも、使用温度と時間の配分には偏りがあります。例では、接合温度10℃で500時間、65℃で500時間、95℃で8000時間、115℃で2000時間、135℃で1000時間です。

ミッションプロファイルの例

累積通電12000時間のうち8000時間を95℃で過ごし、135℃は1000時間です。故障率の見積もりは、この時間の配分の上に立ちます。

故障率の見積もりはこの配分の上に立つので、同じ製品でも組み込まれる機器が変われば数字が変わります。ロームがミッションプロファイルの提供を求めるのはそのためです。機能安全の数値は、製品の属性というより、製品と使い方の組で決まる値だと言えます。

よくある質問（FAQ）

機能安全とは何ですか？

電気・電子・プログラマブル電子（E/E/PE）制御の機能を新たに付け加えることで、リスクを下げる措置です。平成28年厚生労働省告示第353号の指針にある定義で、危険源そのものではなく危険源のリスクの大きさを調節します。

本質安全との境目はどこですか？

危険源そのものを取り除くか、危険源の大きさを制御で調節するかが違います。ロボットの可動部が作る隙間を人体寸法以上の広さに保つ構造にするのが本質安全で、挟圧状態を検出して可動部の出力を制御するのが機能安全です。

丈夫な部品を使えば機能安全になりますか？

丈夫さだけでは足りません。故障が起きたときに安全な側へ倒れる仕組みと、その確からしさを示す根拠の両方が要ります。安全機能は「故障がリスクの増加に直ちにつながるような機械の機能」だからです。

安全度水準（SIL）とは何ですか？

安全関連システムの信頼性の水準で、安全機能が作動に失敗する確率を指標にします。高頻度作動要求または連続運転モードでは、危険側失敗の平均頻度がSIL1で1時間あたり10のマイナス6乗以上10のマイナス5乗未満、SIL4で10のマイナス9乗以上10のマイナス8乗未満です。

規格はISO 26262だけですか？

分野ごとに別の規格があります。車載向けはISO 26262、産業機器やロボット向けはIEC 61508、家電向けはIEC/UL60730で、機械類にはIEC 62061やISO 13849-1も必要に応じて適用できます。

半導体メーカーは何を提供するのですか？

製品そのものに加えて、根拠となる書類を提供します。ロームは、FMEA、FIT、FMEDA、Safety manualなどを機能安全カテゴリごとの提供資料として一覧にしています。

「機能安全対応」と書いてあれば同じ意味ですか？

中身は3種類あります。ロームは、ISO 26262対応プロセスで開発したもの、必要な安全機構を搭載したもの、安全分析のサポートが可能なものを区別しています。

比較・違いを学ぶ

信頼性試験とは── 壊れにくさを確かめる側
トレーサビリティとは── 根拠の連鎖がつながっているかを支える側

出典

6件を表示

1
中央労働災害防止協会：機能安全活用テキスト平成29年度厚生労働省委託事業表5-1ほか（2018年3月）mhlw.go.jp a b c d
2
テキサス・インスツルメンツ：機能安全の技術紹介ページti.com ↩
3
ローム：機能安全rohm.co.jp ↩
4
ロームの機能安全（ComfySIL）パンフレット Catalog No.64X7314Jfscdn.rohm.com ↩
5
ルネサスエレクトロニクス：機能安全renesas.com ↩
6
ローム：品質・信頼性ハンドブック rev.001（2026年8月）fscdn.rohm.com ↩