変更要約: 初版
6.3機能安全と信頼性
電気・電子・プログラマブル電子系の機能安全の一般規格IEC61508と自動車向けのISO26262、その安全水準を示すSIL・ASIL、故障の影響を体系的に洗い出すFMEA・FTA、故障時に安全側へ倒すフェールセーフと機能を縮退させて継続するフェールソフト、多重化で単一故障をカバーする冗長化・多数決、そして目標値に追従させるPID制御を学びます。
医療機器・自動車・産業制御など、故障が人命や重大事故に直結しうる組込みシステムでは、「壊れないように作る」だけでなく「壊れたときにどう安全に振る舞わせるか」を設計段階で規定する機能安全の考え方が不可欠です。システムアーキテクトには、対象システムの危険度に応じた安全水準（SIL/ASIL）を見極め、それに見合うフェール動作・冗長化構成を選ぶ判断力が求められます。
6.3.1機能安全規格とSIL・ASIL
- IEC61508＝電気・電子・プログラマブル電子（E/E/PE）系の機能安全に関する一般規格。産業機器全般に適用される親規格で、ここから鉄道・プロセス産業・自動車など分野別の規格が派生する。ISO26262＝IEC61508を基に策定された自動車分野向けの機能安全規格で、車載電子制御システム（ブレーキ・ステアリング等）に適用される。
- SIL（Safety Integrity Level）＝IEC61508が定める安全水準で、SIL1〜SIL4の4段階（数字が大きいほど要求される安全性が高い）。ASIL（Automotive Safety Integrity Level）＝ISO26262が定める自動車向け安全水準で、ASIL A〜Dの4段階（Dが最も厳格）に加え、安全上の要求がないことを示すQM（Quality Management）がある。危険度が高い機能（例：ブレーキ制御）ほど高いSIL/ASILが要求され、要求されるハードウェア・ソフトウェアの検証の厳格さも上がる。
6.3.2FMEAとFTA
- FMEA（故障モード影響解析）＝部品・要素ごとに「どう故障しうるか（故障モード）」を洗い出し、それが上位のシステムにどう影響するかをボトムアップに評価する手法。個々の部品の故障モードから漏れなく積み上げて検討したいときに向く。
- FTA（故障の木解析）＝「起きてはならない特定の事故・トップ事象」を起点に、それを引き起こしうる要因の組み合わせを論理ゲート（AND/OR）で木構造に展開するトップダウンの手法。特定の重大事故に至る経路を漏れなく洗い出したいときに向き、FMEAと相補的に使われる。
「IEC61508＝E/E/PE系の一般安全規格」「ISO26262＝自動車向け（IEC61508の派生）」「SIL1〜4／ASIL A〜D＋QM・数字/アルファベットが大きいほど厳格」「FMEA＝部品起点のボトムアップ」「FTA＝事故起点のトップダウン（AND/OR論理ゲート）」の対比が最頻出です。FMEAとFTAは対象方向が逆であり相補的に使う点を理解しましょう。
6.3.3フェールセーフ・フェールソフトと冗長化・PID制御
- フェールセーフ＝故障が発生した際に、システムをあらかじめ定めた安全な状態（例：信号機は全赤、エレベータは非常停止）へ確実に移行させる設計思想。機能の継続よりも安全側への確実な収束を優先する。フェールソフト＝故障が発生しても機能を縮退させながら運転を継続させる設計思想（例：エンジン1基が故障した多発エンジン機の飛行継続）。継続性が求められる用途に向くが、縮退した機能の範囲を利用者に正しく伝える設計も必要になる。
- 冗長化＝同じ機能を持つ要素を複数用意し、一部が故障しても全体としては機能を維持する設計。多数決（2oo3等）＝3系統以上の出力を比較し多数派の値を採用することで、単一系統の誤り（センサ故障・ソフトのバグ等）が結果に反映されるのを防ぐ冗長化の具体的な実装方式で、航空機の飛行制御システム等で使われる。
- PID制御＝目標値との偏差に対し、現在の偏差に比例したP（比例）、偏差の蓄積に応じたI（積分）、偏差の変化速度に応じたD（微分）の3要素を組み合わせてフィードバック操作量を決める制御方式。Pのみでは目標値に対する定常偏差（オフセット）が残りやすく、Iを加えることで定常偏差を解消できるが、Iが強すぎるとむだ時間（制御の効果が現れるまでの遅れ）と相まって振動（オーバーシュート）を招きやすくなるため、Dで変化速度を抑えてバランスを取る。
あるシステムアーキテクトが、工場内の産業用ロボットアームの制御システムを設計するとします。まずIEC61508に基づき、アームの誤動作が作業者への衝突事故につながるリスクの大きさからSIL2相当の安全水準を要求水準として設定します。次にFMEAでアーム駆動用の各モータ・エンコーダ・制御基板について「断線」「センサ値の異常出力」「制御プログラムの暴走」等の故障モードを洗い出し、それぞれがアームの動作にどう影響するかをボトムアップに評価します。並行してFTAにより「作業者へのアーム衝突」というトップ事象を起点に、「位置センサの誤検知」AND「安全柵の連動停止の失敗」といった組み合わせ要因を木構造で洗い出し、複数条件が重ならないと事故に至らない設計になっているかを検証します。フェール時の挙動については、位置センサの異常を検知したら即座にモータへの電源供給を遮断し停止する（フェールセーフ）設計を採用します——ロボットアームは継続動作より安全側への確実な収束を優先すべき用途だからです（フェールソフトで縮退動作を続けると、誤った位置情報のまま動き続け衝突リスクが残るため不適切）。さらに位置センサ自体の故障が事故の起点にならないよう、位置センサを3系統に冗長化し2oo3多数決で採用値を決定することで、単一センサの故障が誤動作に直結しない構成とします。最後に、アームの位置決め制御にはPID制御を用いますが、P制御のみでは目標位置に対して定常偏差が残り正確な位置決めができないためI制御を加え、I制御を強めすぎるとモータの応答遅れ（むだ時間）と相まってアームが目標位置を行き過ぎて振動する（オーバーシュート）ため、D制御で応答速度を抑えて滑らかな位置決めに収束させる、という安全設計と制御設計を一体で検討するのが実務です。
| 要素 | 方向性 | 目的 |
|---|---|---|
| FMEA | 部品→システム（ボトムアップ） | 個々の故障モードを網羅的に洗い出す |
| FTA | 事故→要因（トップダウン） | 特定の重大事故に至る経路を洗い出す |
| フェールセーフ | 故障時に安全状態へ収束 | 安全最優先（継続性は犠牲） |
| フェールソフト | 故障時に機能を縮退し継続 | 継続性優先（安全性は要別途担保） |
ひっかけ： 「フェールソフトの方がフェールセーフより常に優れた設計」は誤りです——ロボットアームや原子力制御のように誤動作の継続自体が重大事故に直結する対象にはフェールセーフが適切で、フェールソフトは航空機の多発エンジンのように縮退運転でも安全に継続できる対象向けです。「ASIL Dが最も安全対策が不要」も誤り＝ASIL Dは最も厳格な水準で、安全対策が不要なのはQM（対象外）です。「PIDのI制御を強めるほど良い」も誤り＝強すぎるとオーバーシュートを招きます。
6.3.4この節のまとめ
- IEC61508（E/E/PE一般）とISO26262（自動車）が定めるSIL1-4／ASIL A-D+QMは数字/文字が大きいほど厳格
- FMEA＝部品起点のボトムアップ、FTA＝事故起点のトップダウンで相補的に故障を分析する
- フェールセーフ＝安全収束優先、フェールソフト＝機能縮退で継続。冗長化・多数決で単一故障をカバーし、PID制御のI/Dで定常偏差とオーバーシュートを両立管理
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 工場の産業用ロボットアームで、位置センサの異常を検知した際にどう振る舞わせるべきか設計判断を行っている。誤動作の継続が作業者への衝突事故に直結するリスクがある。最も適切な設計方針はどれか。
Q2. 航空機の飛行制御システムで、3系統の位置センサのうち1系統が故障してもシステム全体としては正しい制御値を出力し続けたい。最も適した設計はどれか。
Q3. ロボットアームの位置決め制御にP制御のみを用いたところ、目標位置に対して一定のずれ（定常偏差）が解消されない。この課題への対応と、対応後に新たに注意すべき現象の組み合わせとして最も適切なものはどれか。