システムズ エンジニアリングで学ぶ～安全性設計（その1）： 安全性設計におけるSEの活用～

システムズ 04 エンジニアリングで学ぶ ～安全性設計（その1）： 安全性設計におけるSEの活用～ L E A R N I N S Y S T E M S E N G I N E E R I N G S E R I E S

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ 　システムズエンジニアリングは、航空・宇宙分野において以前より適用されている システム開発手法ですが、昨今自動車の機能安全規格ISO26262[1]や無人航空機 の認証取得ガイドライン[2]にも取り込まれており、安全性を要求されるシステム 開発に不可欠となっています。特に自動車業界においては、2010年代半ばから Mode l Based Sys tems Eng i nee r i ng（MBSE）が注目されていますが、 2023年時点でもMBSEを活用した成果が得られずにトライアルにとどまっている 企業も少なくないようです。その理由として、MBSEの導入が目的化してしまい、 システムズエンジニアリングの本質を理解できていないという声を耳にします。 　そこで、今回はシスムズエンジニアリングを適用した安全性設計の進め方を解説します。 １．安全性設計の基本 　安全性設計とは、製品やシステム使用時に意図しない使われ方や操作をされた場合に、 またはシステムが故障した場合に許容できない危険要因（ハザード）が発生しないようにする ための設計手法です。 　システムの安全性設計の基本的な進め方を下図に示します。まず、そのシステムに関わって 発生し得るハザードとその発生原因を洗い出し、次に各発生原因を制御するための方法を 設定し、それをシステムへの機能要求として落とし込みます。但し、このシステム要求記述は 極力達成すべき目標とし、具体的な実現解は設計時に決めるようにします。 開発プロセス システム安全 運用構想・要求 ハザード識別 機能安全規格 システム要求 ハザード原因の 機能要求 洗い出し 国の安全基準 システム設計 ハザード制御方法設定 構成品設計 検証計画 製造・組立 試 験 検証コンプライアンス 図： 安全性設計の基本的な進め方 01

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ 　その後、機能要求のブレークダウン及び設計の具体化と安全性解析・評価をイタレーション しながら、システムのアーキテクチャを決定します。アーキテクチャ設計においては、構成品 への機能の分配および構成品間のインタフェース設定を行います。また、この段階でフェール トレラント、フェールセーフ、フールプルーフ等をどのようにシステムとして実現するかも明確に する必要があり、このアーキテクチャの設定によりシステムの安全性はほぼ決まります。これを 失敗すると開発の後段階で大幅な手戻りが発生する可能性があるので注意が必要です。 　機能安全に関しては、ISO等で一般規格や製品に対応したグループ規格が発行されてい ますが、グループ規格の内、民間航空機の開発ガイドライン[3]や自動車の機能安全規格な どはシステムズエンジニアリングの適用を求めており、上図に示した安全性に関わる開発を V字プロセスに従って実施する必要があります。例えば民間航空機の開発ガイドラインに おいては、開発プロセスと安全性解析プロセスの相互関係が下図のように示されています。 航空機 システム 構成品 構成品 構成品 システム 航空機 要求確認 要求確認 要求確認 設計 検証 検証 検証 シ 航空機FHA ス 航空機検証 テ ASA ム要 PASA 求割当 ム統 合 シス テ 航空機CCA システム検証 航空機CCA 構成 上位レベル 品要 の要求 システムFHA 求 品統 合 システムSSA 妥当性確認 割当 構成品検証 構成PSSA システムCCA システムCCA システム FMEA/FMES 上位レベル システムFTA システムFTA トップダウン の要求 ボトムアップ 安全要求設定 妥当性確認 システムCMA システムCMA 安全要求検証 /妥当性確認 上位レベル ハードウェア設計 の要求 システム 妥当性確認 FMEA/FMES ソフトウェア設計 FHA: Functional Hazard Analysis DO-178 プロセス PASA: Preliminary Aircraft Safety Analysis DO-254 プロセス CCA: Common Cause Analysis ARP4754/ARP4761 プロセス （公財）航空機国際共同開発促進基金「解説概要29-4航空機システム/構成品の開発プロセス」よりレヴィが作成 図： 民間航空機の開発プロセスと安全性解析プロセスの相互関係 02

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ 　システムズエンジニアリングを用いることにより要求定義～設計～製造～検証の一連のプロセ スにおけるトレサビリティ（インプットとアウトプットの繋がり）およびコンプライアンス（要求に対する 検証結果）を確保できるため、このプロセスに従って開発を行うことにより論理的にシステムの 安全性を保障することができます。 　この手順は、航空機や自動車に限らずあらゆるシステム開発に有効であり、上手く活用すること により手戻りなく効率的に開発を進めることが可能となります。ここでは身近で理解しやすいこと および安全性に関わる要求を複数含んでいる電子レンジを用いて、その進め方を説明します。 2．機能要求の明確化 　システムズエンジニアリングを用いたシステム開発において最初に行うことは、システムの 要求定義です。要求定義は、システムのユーザのみならずステークホルダーの要求を分析し、 どのようなシステムを作るのかを決め、機能・性能等のシステム要求として落とし込むプロセス です。もう少し具体的には、システムの運用、スコープ、外部インタフェースの定義を行い、その 後システムがどのように機能し、パフォーマンスするべきかを定義します。その他に、物理的な 特性、安全性要求、信頼性要求、保全性要求などの特性も明確にします。 電子レンジのステークホルダー 　ステークホルダーは、日本語では利害関係者と言われますが、そのシステムに関わる全ての 関係者と理解して下さい。電子レンジの一番のステークホルダーはそれを使用するユーザです が、システムを開発する人、部品を製造したり組み立てる人、それを販売する人、故障時に修理 する人、廃棄する人などもステークホルダーです。今回は、ユーザに焦点を絞って説明します。 ユーザ要求 　電子レンジに対するユーザの要求は、飲食物を加熱することです。これをモデルで描くと 以下のようになります。ユーザが飲食物を電子レンジに入れると、加熱された飲食物が生成 されます。これが電子レンジのコンテクストモデルです。 （注：本書のモデリングは、株式会社レヴィのBalusというツールを使用） 図： 電子レンジのコンテクストモデル 03

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ 　オーブンも同じようなモデルで描くことができますが、電子レンジはマイクロ波を使用し、 オーブンは赤外線を使う点が異なります。同じような目的を持ったシステムに対しても 実現方法は複数存在することを理解して下さい。 　一言で加熱すると言っても、具体的には以下のような要求があります。まずは、システムに 対する要求、つまりシステムが達成すべき目的を明確にすることが重要です。 ・水を沸騰させたい ・冷たいものを熱々にしたい ・少し温めたい ・冷凍食品を解凍したい ・でき具合を見ながら加熱したい ・ボタン一つで最適な温度にして欲しい、など 電子レンジの運用 　次に電子レンジの運用について整理します。電子レンジの運用は、飲食物をセットして加熱 を開始し、加熱が終わったら飲食物を取り出す、という手順になります。 　マイクロ波を安全に飲食物に照射するために飲食物を覆うための機能（構造物）が必須で あり、またその構造物の中に飲食物を出し入れするための機能が必要となります。システムズ エンジニアリングにおいては、必要な機能を定義した後、その機能を構成品に割り当てます。 ここでは、「飲食物の出し入れするための機能」としてドアを用いることを前提として、電子レンジ の運用をモデルに描くと以下のようになります。 図： 電子レンジの運用 04

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ 機能要求の洗い出し 　上記のユーザ要求および運用から電子レンジの機能要求を整理すると以下のようになります。 1） 飲食物を加熱できること（マイクロ波を照射する機能） 2） 加熱時に飲食物を覆えること 3） ユーザが飲食物を出し入れできること 4） ユーザが加熱を開始できること 5） ユーザが加熱を停止できること 6） ユーザが加熱量を調整できること 7） 飲食物の温度を検出して適温で自動停止する機能を有すること 8） ユーザが飲食物の状態を外から確認できること 　要求作成時に大切なことは、目的が分かるようにしておくことです。実現方法は後の段階で 決めれば良く、要求段階で設計解を書くことは好ましくありません。例えば、「飲食物の状態を 外から確認できること」に関しては、「ドアにガラスを入れること」、「照明を有すること」などの 要求にこの段階で分けてしまうと、どうしてそれらが必要なのかが分からなくなってしまい、他の 実現解の可能性を排除することになるので気を付ける必要があります。 外部インタフェースの明確化 　システムには必ず境界線が存在します。その境界線における外部のシステムや要素との 接続を外部インタフェース（以降“IF”と略す）と呼びます。外部IFは、機械的IF（形状、寸法、 材料、強度、メカニカル）、電気的IF（電力、電気的特性、コネクタピンアサイン）、熱的IF（温度、 電熱、放射）、機能的IF（アプリケーション間IF、データ定義、コマンド、マンマシン）、通信IF （電気的特性、プロトコル）、電波（周波数、強度）、振動、音などあらゆるものを含みます。意図的 に決定するIFもあれば、時には意図せずに存在する場合もありますが、考えられるものを全て 上げるようにして下さい。 電子レンジの外部IFを以下に示します。 図： 外部インタフェース 05

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ 　ユーザIFが外部IFの主要項目ですが、電力や熱というのも外部IFとして識別が必要です。 電力に関しては、電圧、電流、消費電力が、電子レンジとして重要な特性の項目です。また熱 に関しては、設置する場所の環境条件に注意すべきです。 安全性に関わる要求 　システムを開発する場合、必ず安全性を考慮する必要があります。安全性は、本来の機能 と合わせて開発の初期段階から要求に組み込むことが重要です。設計後半や製造に移って から気が付いて設計変更が必要となった場合は、大きな手戻りが必要となります。 　進め方としては、まずはシステムのハザードを識別します。電子レンジでは、火傷、感電、 火災などのハザードが存在します。ハザードを識別した後は、ハザード毎にその発生原因を 洗い出します。この洗い出しは、一般的にFTA(Fault Tree Analysis)という手法を用い ます。電子レンジFTAの例を以下に示します。 図： FTA例 　このFTAで洗い出されたハザードの原因を制御することにより、システムの安全性を 実現することができます。上記FTAから、ハザードの制御に必要な機能を洗い出すと、 システムとして以下のような機能を有する必要があります。これが安全性から導かれる 要求です。 1） マイクロ波の漏洩を防ぐこと 2） 高温部分に人が触れないようにすること 3） 感電を防止すること（高電圧の部分を覆う機能、漏電を防止する機能） 4） 火災を防止すること（ショートを防止する、マイクロ波による食品の過加熱を防止する、など） 06

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ 　ここまで、電子レンジの全体像と電子レンジが持つべき要求を整理しました。このように、 どんなシステムを作りたいかを明確にすることが重要です。もっとも、最近のシステムは要求が 曖昧な状態からアジャイル開発を行うことが普及していますが、その場合でもコアとなる部分 に関してはコロコロ変更することの無いように要求を明確にすることが大切です。 3．技術要求への落とし込み 　次に、上記で整理した要求を具体的な技術要求に展開します。 運用状態の遷移 　電子レンジの運用は、加熱したいものをレンジ内にセットして加熱開始ボタンを押すと いう簡単なものですが、電子レンジの状態としてどのように変化するかを考えてみます。 電子レンジの状態は、OFF状態/ON状態[加熱無]/加熱中という3つの状態とドアの開/閉の 2つの状態の組合せ（全6状態）で網羅できます。 　決してこれに縛られる必要はありませんが、ここでは一般的な電子レンジに倣って状態遷移 を設定します。電子レンジは、一般的な電気製品に付いている電源ON/OFFスイッチがあり ません。ドアを開けた時にON状態になり、その状態で一定時間操作がない場合に自動的に OFFになります。状態遷移図を以下に示します。実際には、加熱中＆ドア開という状態は 安全上禁止されるため存在しませんが、それを明確にするために図に含めています。加熱中＆ ドア閉時にドアを開けた場合は加熱を停止し、ドア開時に加熱を開始する遷移は禁止する 必要があります。 　ここでは、「加熱中＆ドア閉時にドアを開けた場合は加熱を停止」と書きましたが、実は これは設計解です。他の解として、「加熱中はドアが開かないようにロックする」という設計解 も存在します。本来であれば、どちらの設計が良いかは、使い易さや、安全性、技術的容易性 などの観点からトレードオフ（比較検討）を行って決める必要があります。因みに洗濯機で は、後者の解を採用しており、動作中は蓋がロックされています。 07

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ 6） 加熱を停止する機能 　 ・加熱を停止するための操作ボタンを有すること。 　 ・加熱停止ボタンが押された時、加熱を停止すること。 7） 加熱量を調整できる機能 　 ・マイクロ波の出力を3段階で設定できること。 　 ・加熱時間を最大10分まで設定できること。 　 ・加熱設定時間および加熱残り時間を表示すること。 8） 飲食物の温度を検出して適温で自動停止する機能 　 ・加熱中の飲食物の温度をモニタし、80℃（暫定値）で加熱を停止すること。 9） 内部を確認できる機能 　 ・ドアを閉じた状態で内部を確認できる機能を有すること。 図： 状態遷移図 　 ・加熱中、内部を照らすための照明を点灯すること。 　 ・ドアを開けている間、内部を照らすための照明を点灯すること。 10） マイクロ波の漏洩を防ぐ機能 技術要求への落とし込み 　 ・構造およびドアは、マイクロ波の漏洩を防げること。 　上記までの検討結果から、電子レンジの要求を具体的な技術的要求（案）として書き下します。 　 ・ドア開時はマイクロ波の発生を禁止すること。 技術要求は、曖昧さがなく、検証できる記述とすることが重要です。 11） 高温部分を覆う機能 1） ON/OFF機能 　 ・人が直接触れる可能性のある部分の温度は、55℃以下とすること。 　 ・OFF状態で、ドアが開いた時、ON[加熱無]状態になること。 12） 感電を防止する機能 　 ・ON[加熱無]状態で、１分間操作がない場合、OFF状態になること。 　 ・高電圧の部分に人が触れないようにすること。 2） 飲食物を加熱する機能[加熱機能] 　 ・漏電を防止すること。 　 ・マイクロ波による加熱機能を有すること。 13） 火災を防止する機能 3） 飲食物を覆う機能 　 ・電気回路および配線の設計はショートを防止すること。 　 ・飲食物をセットし、それを覆う構造を有すること。 　 ・マイクロ波による飲食物の過加熱を防止すること。 4） 飲食物を出し入れする機能 　 ・飲食物を出し入れするためのドアを有すること。 5） 加熱を開始する機能 　 ・加熱を開始するため操作ボタンを有すること。 　 ・加熱開始ボタンが押された時、ドアが閉じている場合は、加熱を開始すること。 　 ・加熱開始ボタンが押された時、ドアが開いている場合は、加熱を開始しないこと。 08

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ 6） 加熱を停止する機能 　 ・加熱を停止するための操作ボタンを有すること。 　 ・加熱停止ボタンが押された時、加熱を停止すること。 7） 加熱量を調整できる機能 　 ・マイクロ波の出力を3段階で設定できること。 　 ・加熱時間を最大10分まで設定できること。 　 ・加熱設定時間および加熱残り時間を表示すること。 8） 飲食物の温度を検出して適温で自動停止する機能 　 ・加熱中の飲食物の温度をモニタし、80℃（暫定値）で加熱を停止すること。 9） 内部を確認できる機能 　 ・ドアを閉じた状態で内部を確認できる機能を有すること。 　 ・加熱中、内部を照らすための照明を点灯すること。 　 ・ドアを開けている間、内部を照らすための照明を点灯すること。 10） マイクロ波の漏洩を防ぐ機能 　 ・構造およびドアは、マイクロ波の漏洩を防げること。 　上記までの検討結果から、電子レンジの要求を具体的な技術的要求（案）として書き下します。 　 ・ドア開時はマイクロ波の発生を禁止すること。 技術要求は、曖昧さがなく、検証できる記述とすることが重要です。 11） 高温部分を覆う機能 1） ON/OFF機能 　 ・人が直接触れる可能性のある部分の温度は、55℃以下とすること。 　 ・OFF状態で、ドアが開いた時、ON[加熱無]状態になること。 12） 感電を防止する機能 　 ・ON[加熱無]状態で、１分間操作がない場合、OFF状態になること。 　 ・高電圧の部分に人が触れないようにすること。 2） 飲食物を加熱する機能[加熱機能] 　 ・漏電を防止すること。 　 ・マイクロ波による加熱機能を有すること。 13） 火災を防止する機能 3） 飲食物を覆う機能 　 ・電気回路および配線の設計はショートを防止すること。 　 ・飲食物をセットし、それを覆う構造を有すること。 　 ・マイクロ波による飲食物の過加熱を防止すること。 4） 飲食物を出し入れする機能 　 ・飲食物を出し入れするためのドアを有すること。 5） 加熱を開始する機能 機能ブロックダイアグラムの作成 　 ・加熱を開始するため操作ボタンを有すること。 　上記の各機能の関係を図に現した機能ブロックダイアグラムを以下に示します。機能 　 ・加熱開始ボタンが押された時、ドアが閉じている場合は、加熱を開始すること。 は、判りやすくするために、人の操作に関わる機能、加熱に関わる機能、安全に関わる機能 　 ・加熱開始ボタンが押された時、ドアが開いている場合は、加熱を開始しないこと。 の3つに分類しています。また、安全に関わる機能を赤色で示しています。 09

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ 図　電子レンジの機能ブロックダイアグラム 機能要求以外の特性要求 　機能要求以外の要求には、動作環境（温度、湿度）、物理的なサイズ（外形や加熱室の 大きさ）、消費電力、信頼性（例えば、2000時間の運用に耐える）というような特性を要求 として設定する必要があります。ここでは、詳細を省略します。 10

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ 4．アーキテクチャ設計 　次の段階では、上記で明確にした要求を構成品（ハードウェアとソフトウェア）に割付ける と共に内部IFの設定を行います。これがアーキテクチャ設計です。アーキテクチャ設計の 解は、一つではありません。複数の設計解の中から調達や製造の容易性、設計変更への 柔軟性、コスト等を考慮し、QCDのバランスで、どのアーキテクチャを取るかを決めることが 重要です。 機成品の洗い出し 　まず、前項で定義した要求を達成するために必要な主要構成要素を洗い出します。 ・構造（キャビネット、加熱室） ・ドア（ドア構造、窓、マイクロ波透過防止板） ・制御装置（ハードウェア、ソフトウェア） ・マイクロ波発生装置（高電圧電源、マグネトロン、導波管） ・操作パネル（加熱開始ボタン、加熱停止ボタン、出力設定、加熱時間設定、残時間表示） ・電源ON/OFFスイッチ ・ドア開閉連動スイッチ（開閉状態の検出、ドア開時の電源断） ・照明 ・温度検出センサ 構成品への機能の割り当て 　次に、3項で整理した機能を上記に洗い出した構成品に割り当てます。例えば、「ドアを 開けた時に照明が点灯する」機能、ドアの開閉連動スイッチが切れたことを制御装置が検出 し、照明の電源をONすることによって実現されます。全ての機能をこのように展開していく プロセスがアーキテクチャ設計です。 　電子レンジの各機能と構成品の対応モデルを下図に示します。機能と構成品の関係は、 多対多になります。システムが大きくなればなるほど、この関係はどんどん複雑になります。 11

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ 図： 電子レンジの機能と構成品の関係（アーキテクチャ） 12

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ ハードウェア・ブロックダイアグラム 　アーキテクチャ設計により、機能の繋がりは、構成品（ハードウェア）の繋がりに変換されます。 それを表したのがハードウェア・ブロックダイアグラムです。因みに、ソフトウェアで実現される機能 は、制御装置に割り当てています。 図： ハードウェア・ブロックダイアグラム 　巨大で複雑なシステムにおいては、機能ブロックダイアグラム、機能と構成品の関係、ハード ウェア・ブロックダイアグラム等を一つのモデルで表することが難しいため、モデルを分割または 階層化することにより、要求、設計、検証までのトレースを確実に行うことができるようします。 MBSE(Model Based Systems Engineering)においては、上記のようなモデルにルールを 持たせて表現することにより、計算機の中でその関係情報を維持・管理します。 13

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ 5．安全性設計 　前項に示したように、一つの安全に関わる機能が複数の構成品に分配されていることが 分かります。例えば、加熱を停止する機能は、操作パネル⇒制御装置⇒マイクロ波発発生装置 のON/OFFスイッチというハードウェアの繋がりで実現されます。安全性設計は、このような 機能毎に考えることが重要であり、この機能の構成品全体に対して信頼性向上、冗長設計、 フェールセーフ設計、フールプルーフ設計などを適用して具体的な設計に落とし込むことが 必要です。構成品の一部にでも弱点があると、システムとしての安全性を損なう可能性があり ます。安全性設計にシステムズエンジニアリングを適用する意義はここにあります。 　計算機を用いた制御システムにおいては、複数のセンサ、制御装置、ソフトウェア、アク チュエータ等の組み合わせで実現されます。そのため、構成品が故障するケースのみならず、 データエラー、ソフトウェアのバグ、通信遅延、処理のタイミングのずれ等も安全性設計に おいて重要な考慮事項となります。その部分に注目した安全解析手法が、STAMP (Systems Theoretic Accident Model and　Processes)/ STPA（ STAMP based Process Analysis）です。 　以上、電子レンジの例を用いてシステムズエンジニアリングによる安全性設計の進め方を 説明しました。システムズエンジニアリングを適用することにより、論理的に抜けの無い安全 性設計を進めることが可能となります。 　次回は、このプロセスを表形式で分りやすく可視化するSSDM（System and Safety Design Matrix）を紹介します。 【参考文献】 [1] ISO26262 Road vehicles ‒ Functional safety, ISO, 2011.11 [2] 無人航空機の型式認証等取得のためのガイドライン, 国土交通省, 2022.12 [3] APR4754A Guidelines for Development of Civil Aircraft and System, SAE, 2010.12 14

システムズエンジニアリングで学ぶ ～安全性設計（その１）～ ■ もっと学びたい人へ サルでもわかるNASA式システム開発 https://levii.co.jp/downloads/guidebook-03/ インタビュー：日本のものづくりは「カイゼン」の積み重ねではもう勝てない？ https://go.levii.co.jp/se-story-001 ドローン事業者向けシステムズエンジニアリング入門教材 https://levii.co.jp/downloads/drone-se-basic/ システム開発体験ゲーム「ペジテの自転車」 https://levii.co.jp/lab/pejite/ 「システムズエンジニアリングで学ぶ」シリーズ https://levii.co.jp/downloads/#others ■ 執筆者プロフィール 竹内 芳樹 株式会社レヴィ 顧問 三菱重工業株式会社に37年間勤務後、株式会社ispaceに 1年半勤務。2021年7月にレヴィの顧問に就任。三菱重工で は主に宇宙事業に携わり、宇宙ステーション実験棟「きぼう」 および同補給機「こうのとり」の開発においてシステム設計や プロジェクトマネジメントを実施した。 米国PMI認定プロジェクトマネジメントプロフェッショナル 趣味は、登山、ゴルフ、ランニング。日本百名山全山登頂。 座右の銘は、「知彼知己者、百戰不殆」。 制作： 株式会社レヴィ システムデザイン研究所 https://levii.co.jp/ contact@levii.co.jp 15