機械規則とCRA対応
従来のリスクアセスメントは人への危害を中心に行われてきましたが、近年はサイバー攻撃によるリスクを考慮する必要があります。EUでは機械規則およびサイバーレジリエンス法(CRA)により、サイバー攻撃によって危険にならないことが要求されています。
図1
図1に示すように、従来のリスクアセスメントに加えて、サイバー攻撃を危険源として扱い、リスクを特定・評価する必要があります。サイバー攻撃は悪意あるものによって行われる点が従来の故障とは異なります。
図2
さらに、図2はこれらのリスクを制御システムの観点で整理したものです。
- 人への危害：Safetyリスク
- 機能安全の損失による人への危害：SafetyとSecurityの複合リスク
- 資産への危害：Securityリスク
これらに対する対応は以下のように整理できます。
- 人への危害：Safetyリスク
従来通り、物理的ガードや機能安全で対応します。機能安全規格では、安全機能が非安全機能の影響を受けないことが要求されます。 - 機能安全の損失による人への危害：SafetyとSecurityの複合リスク
サイバー攻撃によりプログラムやデータが改ざんされ、安全機能が失われるリスクがあります。このため機械規則では、サイバー攻撃を含めたリスクアセスメントとリスク低減策の実装が要求されます。 - 資産への危害：Securityリスク
生産停止などの影響を含むリスクであり、サイバーレジリエンス法(CRA)やIEC 62443に基づく対応が必要となります。
サイバーレジリエンス法(CRA)では、これらに加えて製品リリース後のインシデント対応や継続的なセキュリティ管理体制も要求されます。
機能安全の進め方
安全要求に基づき、機能安全規格に適合した安全機能の設計開発を行います。図3に、第三者認証を含めた機能安全規格対応の概略を示します。
図3
機能安全規格対応において最も重要なのは、コンセプト設計です。コンセプト設計では、安全機能の安全性と設計開発の信頼性を担保します。
特に第三者認証を受ける場合は、必ずコンセプト設計に対する審査が実施されます。この審査を通過しない限り、その後の設計開発を進めても手戻りが発生する可能性が高く、結果として開発効率やコストに大きな影響を与えます。そのため、初期段階でのコンセプト設計の完成度が極めて重要となります。
コンセプト設計完了後は、設計開発の信頼性を担保するために策定したSafety Plan(安全計画)に従い、設計開発、検証、および機能安全マネジメント(FSM)を実施します。これにより、開発プロセス全体を通じて一貫した品質とトレーサビリティを確保します。
また、第三者認証を受ける場合は、設計開発の後半段階において、認証機関による評価が実施されます。具体的には、実際に故障を挿入してみる試験(Fault Insertion Test：FIT)や、設計開発の実施結果に対する審査、さらに環境試験やEMC試験などが行われます。 このように、機能安全の進め方は、コンセプト設計を起点として、安全要求に基づく設計開発とその検証を体系的に実施し、必要に応じて第三者認証によってその妥当性を確認するプロセスとなります。
