Functional Safety – ISO 26262

IEC 61508とは？
IEC 61508は、電気・電子・プログラマブル電子（以下、E/E/PE）安全関連システムの機能安全に関する国際規格です。この規格ではシステムを、センサ類とその他の入力デバイス、プログラマブルな電子装置そのもの、およびすべてのアクチュエータやその他の出力デバイスを含むものとして定義しています。

ISO 26262とは？
ISO 26262はIEC 61508に基づいて作成された自動車産業固有の規格です。この規格は、ソフトウェアとハードウェアの両方で構成され、乗用車、トラック、バスおよび二輪車（e-bike、モペッド、電動車いすなどの特殊車両を除く）に搭載される電子・電気安全関連システムに適用されます。

この規格は全10章からなり、機能安全管理から概念、設計と開発、さらに生産と運用に至る、E/E/PE安全関連システムのライフサイクル全体をカバーしています。したがって、ISO 26262は製造物責任に関するステートオブアートの規格といえます。

ISO 26262に準拠すると、以下のようにソフトウェア開発工程にさまざまな影響を及ぼします。

• アーキテクチャの設計：
  • 疎結合、高凝集
  • セミフォーマル記法
• 設計および実装：
  • MISRA-C:2004などのガイドライン
  • メモリやタイミング面の非干渉
• ソフトウェアテスト：
  • 系統的アプローチによるテスト
  • 高いレベルのカバレッジ
• システムテスト：
  • 故障注入・ロバスト性テスト
  • ターゲット環境でのソフトウェアテスト

IEC 61508およびISO 26262では、認証されたツールの使用が要求されているのでしょうか？
そうではありません。IEC 61508およびISO 26262は、開発ツールがこれらの安全規格により認証されていることを要求していません。ただし、どちらの規格も、開発時に使用されるすべてのツールがシステムの安全要求に全く違反しないということを、要求されるシステム安全度水準（必要に応じてSILまたはASIL）をサポートするために必要な範囲でシステム開発者が立証できなければならないと定めています。

安全なエンジニアリングという観点から言うと、システム開発者はツールチェーンの安全性が妥当である事を適切な証拠で裏付ける必要があります。　ツールチェーンの安全性が担保されていれば、ツールの単一故障が未検出の致命的な欠陥をシステムに残さないことを立証できるはずです。

ASCET: シミュレーション、ラピッドプロトタイピングおよびターゲット実行
ASCETは以下のような標準搭載機能によりISO 26262準拠のソフトウェア開発を積極的にサポートしているので、安全関連ソフトウェアのエンジニアリングに適したツールと言えます。

• モジュール性、抽象化およびカプセル化のサポート：　ASCETにはオブジェクトベースのプログラミングモデルがあり、生成されるコードも同一のモジュール構造になります。モデルは明確な2層の抽象化レイヤに一意に分けられるので、高次システムの設計をカプセル化し、低レベルの設計検討によって生じる変更から隔離することができます。
• 明確な定義：　グラフィカルなモデリング技法ではデータおよび制御の流れが暗黙的に想定されてしまいがちですが、ASCETではデザイン内で連続番号を使用して明示的な順序付けを行うため、そのような曖昧さは排除されます。ASCETのグラフィカルモデルは、どのように作成されたかに関わらず、必ず同じ挙動を示します。
• リアルタイム性のサポート：　ASCETのステートベースのメッセージ通信スキームにより、スレッドセーフ通信をRTA-OSEKのようなリアルタイムオペレーティングシステムにシンプルに統合します。
• ランタイムエラーの防止：　ASCETは防衛的プログラミングのチェックを自動的に追加でき、ゼロ除算、アンダーフロー、オーバーフローなどのような、よく見られる数値エラーを防ぎます。
• ソフトウェア実装要求への適合：　MISRA-C:2004に最大で100%準拠したソースコードを生成しており、データや制御のフローがコントロール不能になったり、動的なデータ構造が生成されたり、初期化前のデータが使用されたりということを防止します。

IEC 61508およびISO 26262によるASCETの認証

ASCET-MD V6.1 および ASCET-SE V6.1 は、IEC 61508:2010およびISO/DIS 26262:2009に基づいて安全関連システムを開発するためのツールとして、TÜV SÜDから「fit for purpose（用途適合）」の認証を受けています。この認証は、安全度水準がIEC 61508規格のSIL 3およびISO/DIS 26262規格のASIL Dまでのシステムのために現在サポートされているすべてのマイクロコントローラターゲットに向けたコード生成を対象としています。

EHOOKS: セーフティクリティカルなECUのテストを実行
ECUソフトウェアをISO 26262に基づいて検証するためには、ソフトウェアの高い制御性と可観測性を維持しながらターゲット環境でテストを実施する必要があります。ETASは高度のコンフィギュレーション、ビルドおよびパッチングメカニズムを持つEHOOKSというツールを提供しています。

EHOOKSを使用して行える、セーフティクリティカルなECUソフトウェアのテストの特徴：

• テストはターゲットECU上で量産ソフトウェアを使用して実施され、ECUへのアクセスはETAS ETKインターフェースを使用して行われます。
• データ変数およびファンクションを直接操作できるので、クリティカルな機能に対象を絞ってテストを行うことができます。
• 故障注入は、変数を操作する、不適切に実装された関数をバイパスする、あるいは不適切なセンサデータをシミュレートすることにより効率良く実行できます。
• INCA環境にシームレスに統合できるので、制御および観測を効率的に行う事ができます。

EHOOKSを使用して作成されるプロトタイプは、最終的なECUに非常に近いものになるので、ISO 26262で要求されている評価および検証に非常に役立ちます。

INTECRIO: バーチャルプロトタイピング用の統合・ビルドツール
INTECRIOはCコードレベルで統合を行うので、お客様はコードのトレースなどCコードのデバッガおよび開発環境を使用してコードまたはデシジョンカバレッジなどのメトリックを容易に計測することができます。これは、機能モデルからCコードへの変換を行うためにテストケースの追加が必要かどうかを判断するのに役立ちます。このように、INTECRIOを使用すれば、ISO 26262で推奨されているソフトウェアの開発・テスト手法を実行することができます。

ISOLAR-EVE: クリティカルエラーを早期に発見してフィードバックのループを短縮
ISO 26262規格は、ソフトウェアの統合テストをターゲット環境で行うことを要求しています。ECUハードウェアを仮想化すると、ターゲットECUの基本ソフトウェアを使用して、早い段階でソフトウェアの統合テストを行えるようになります。ISOLAR-EVEは、ECUと同一のソースコードを仮想環境で実行して評価を早期に行うことができます。

SCODE Workbench – 制御システムのモデリング、解析、検証と組み込み

SCODE（System CO-DEsign）Workbenchは、エンジニア、制御システム技術者、ソフトウェア開発者が、関係者と一緒に、構造化されていてわかりやすいECUソフトウェア向けのモデルベースソリューションを作成することができ、(完全性等が)作成過程において自動的に検証されるソフトウェアツールです。

適用分野

• 機能の関係性を記述および自動検証
• 自動テスト

機能

• 機能ロジックを100%網羅
• モデルとECU上の実行可能コード間での機能的な同一性を明示

SCODE-ANALYZER はソフトウェアアーキテクチャ設計や単体設計で求められる安全性分析に必要となる、制御フロー分析手法を提供します。ツールはセミフォーマル記法、セミフォーマル検証、システムレベルでの簡素化、ソフトウェアサイズの制限といったISO 26262 要件を満たしています。

SCODE-CONGRA はソフトウェアアーキテクチャ設計や単体設計で求められる安全性分析に必要となる、データフロー分析手法を提供します。