消費者機械安全保証標準化活動 IPA コンシューマデバイス安全標準化 WG 委員 SICE 国際標準化委員トヨタ自動車株式会社エンシン技術開発部主幹石崎直哉 2013/11/20 1

Size: px

Start display at page:

Download "消費者機械安全保証標準化活動 IPA コンシューマデバイス安全標準化 WG 委員 SICE 国際標準化委員トヨタ自動車株式会社エンシン技術開発部主幹石崎直哉 2013/11/20 1"

るるみおおかわち
4 years ago
Views:

1 消費者機械安全保証標準化活動 IPA コンシューマデバイス安全標準化 WG 委員 SICE 国際標準化委員トヨタ自動車株式会社エンシン技術開発部主幹石崎直哉 2013/11/20 1

2 本日の内容背景標準化に対する 4 つの提案 OMG での国際標準化活動まとめ 2

3 本日の内容背景標準化に対する 4 つの提案 OMG での国際標準化活動まとめ 3

4 安全性認識の高まりと制御開発管理上の課題発端 : 2010 年の品質安全問題お客様のトヨタに対する信頼失墜クルマに求められる安全品質の変化電子制御システムの安全も大きな問題に < 問題を通して痛感したこと > 2010/2 月米国公聴会での証言現状把握の遅れ意思決定の遅れ問題は北米から一気に全世界へ広がった想定外の使われ方も想定外では済まされない ( フロアマット ) システム安全への厳しい要求説明の難しさ (BOS 電子スロットル ) ISO26262 規格に準拠した製品開発を実施することに決定 4

安全に関連する電気 / 電子システム ( 純粋なメカは対象外 ) ISO26262 と従来トヨタ安全設計 / 品質との関係 ISO26262 はあくまでミニマム / 必要最低限の安全設計要件しか規定していない.

5 安全性機能安全規格 ISO26262とは機能安全定義システムのリスクを許容できる程度以下に対策して安全を確保する対義語本質安全対策によってリスクをなくして安全を確保する例鉄道の線路横断に対する対策 ISO26262 規格 1 鉄道と道路が平面交差危険な状態 ( 電車との衝突 ) 2011 年 11 月に規格制定 2 警報機や遮断機を設定危険な状態 ( 電車との衝突 ) が許容できる程度以下機能安全の状態 3 立体交差を設定危険な状態 ( 電車との衝突 ) を回避本質安全の状態対象システム --- 安全に関連する電気 / 電子システム ( 純粋なメカは対象外 ) ISO26262 と従来トヨタ安全設計 / 品質との関係 ISO26262 はあくまでミニマム / 必要最低限の安全設計要件しか規定していない. 例 : エンストは ISO26262 の対象外 ISO26262 とは関係なくエンストしないよう従来トヨタ品質を満たすように作りこむ必要あり. 従来トヨタ設計第三者への安全性の説明性のために設計エビデンスを残す ISO26262 要件 ISO26262 及びトヨタ安全基準を全て満たすための仕組みが必要説明性 5

6 自動車制御関連の安全に関する課題まとめ ISO26262 規格で説明できる安全レヘルとトヨタとして証明しなければならない安全レヘルに相違がある想定外の使われ方も想定外では済まされないもはや自動車はネットワーク端末である自動車と社会インフラ及びそれらの連携による社会システムの安全性と信頼性を保証しなければならない変化し続ける社会インフラ年々厳しくなり続ける排気規制燃費要求へ対応し続けなければならない自動車単体だけでなく消費者機械及び変化し続ける社会インフラ規制機能要求に対応可能な安全性議論の方法論が必要である 6

7 本日の内容背景標準化に対する 4 つの提案 OMG での国際標準化活動まとめ 7

8 標準化に関する提案 :4 つの概念新しい概念消費者機械 : 一般消費者が使用する安全性に関わる電子機器 Dependability : Safety Reliability Maintainability etc などを統合した高信頼性 Argumentation Assurance Case : 議論の構造を記録する方法論新しい開発フロセス概念 Top-Down 的 Waterfall 開発素早い繰り返し (Agile 的 ) モデルベース保証手法上記概念を効率的に開発管理するツール仕組み 8

消費者機械 (Consumer Devices) とは Factory machineries Consumer devices The

General users Cost High Sufficiently low Maintenance Environment

Users, Service stations (weekly managed) Factory environment User

9 消費者機械 (Consumer Devices) とは Factory machineries Consumer devices The number of the production A few to Many A huge number Users Experts General users Cost High Sufficiently low Maintenance Environment Real field (strongly managed) Factory environment (almost stable) Users, Service stations (weekly managed) Factory environment User environment (Open, dynamic and diverse) 一般消費者が使用する自動車サービスロボット電子機器スマートハウスなど 9

Dependability とは Safety, Reliability などの複合的高信頼性を示す従来は個別の保証を検証してきたがシステムが複雑になり個別の保証では不十分となってきた Dependability Attributes 1. Security 2. Availability 3. Reliability 4. Maintainability 5.

10 Dependability とは Safety, Reliability などの複合的高信頼性を示す従来は個別の保証を検証してきたがシステムが複雑になり個別の保証では不十分となってきた Dependability Attributes 1. Security 2. Availability 3. Reliability 4. Maintainability 5. Safety 6. Functional 7. Integrity 8. Trustfulness 9. Justifiable 10. Robust 11. Resilient 12. No vulnerability 13. Accessibility 14. Performability 15. Comfort *Obtained from Wikipedia 10

11 Argumentation とは Assurance Case システムの保証をエヒテンスを基に議論するための方法 Assurance Case 拡張 : Dependability Case の導入戦略 : システムの FTA を議論エヒテンス例 :FTA 結果ゴール戦略 : システムの FMEA を議論エヒテンス例 :FMEA 結果例 : システムは安全であるエヒテンス議論の構造出典 :D-Case 入門名古屋大学他 11

12 Dependability Case のメリット問題全体のスコープの明確化議論に用いる資料の明示化戦略 : システムのFTAを議論エヒテンス戦略 : システムのFMEAを議論ゴールエヒテンス例 : システムは安全であるエヒテンス個々の FTA/FMEA 等のリスク分析結果の統合例 :FTA 結果例 :FMEA 結果既存の安全や技術規格との適合結果の統合個々のゴールに対する問題設定と合意条件の議論の明示化 Evidence によってどのように OK と判断したか主張 (Argument) の明確化 12

13 消費者機械保証の難しさ Drivers Physical Systems Controller Software Operation Environment (e.g. Passengers, Pedestrians, Atmosphere, Road) 制御システムと自然界 ( 物理システム ), 操作環境との相互作用自然界操作環境は全てを予想することは困難 13

14 消費者機械開発の基本アフローチ Outside of Assumptions Trial New Assumptions Assumptions Experiences Assumption Errors 過去の経験から開発開始ある想定を仮定し試行錯誤を繰り返しながら適切な機能要件を定義素早い繰り返しによる開発自動車業界で実績 14

15 Auto Code Gen. 素早い繰り返しによる開発フロセス ( 案 ) Dependability Analysis Certification Doc. Gen. Dependability Goal Definition Argument Construction Objective Requirements Control Design Control Model Simplification Optimization Code Generation Control Design Process Implementation Process Calibration Verification & Validation Evidence Collection 15

16 たとえばトヨタでは実車評価による走行距離日当たり評価時間 : 4Hr/day 平均車速 : 30km/h 年間評価日数 : 200 days/year フロシェクト当り試作車 : 100 prototype vehicles / project 開発期間 : 3 ~ 5 years / project to finish Total Km = 4 x 30 x 200 x 100 x 3 Total : 7,200,000 km ( 地球 180 周分 ) 16

17 モデルベース保証とは (Model Based System Assurance) Dependability Case による保証に対する議論の明確化は可能コスト時間の制約の下で実現可能か? Model Based System Assurance Compositional Argumentation の実装 Proven In Use Argument の明確化 17

18 自動車制御開発への D-Case 適用想定 : 新フリウス開発におけるエンスト D-Case を定義する旧フリウスをヘースとして新フリウスを開発する旧フリウスエンシン旧フリウスエンシン + VVT 新フリウス開発 VVT 機能追加トヨタにおけるエンスト評価開発のフロセスを D-Case を適用 18

19 エンスト D-Case 例 19

20 C : 新フリウスエンシン諸元 1. エンシン CAD テータ 2. 部品表構造図 3. 変更点変化点一覧 4. エンシン機能要求仕様 5. 相互影響マトリクスエンシンストール D-Case 記述概略 G : エンシンストールが発生しないこと SG : 旧エンシン開発時にエンスト発生しないことが検証されていること S : 過去エンシンでエンストしないことを確認する SG : 市場でエンスト実績がないこと S : 新エンシンに対する DRBFM を実施する C : DRBFM 1.DRBFM 手順書 2.DRBFM 妥当性 3.DRBFM 結果 S : 総合車両評価を実施する SG : 実ユースケースに従った車両評価できていること C : Engine Operating Condition 1. エンシン水温 2. 吸入空気温 3. 大気圧 4. 電気負荷 5. ハワステ状況 6. フレーキンク状況 7. エアコン運転状況 8. エンシン慣らし状況 SS : 過去の開発結果を検証しエンストなきことを確認する SS : 市場調査結果を検証しエンストなきことを確認する SS : EOC の複合条件による評価を実施する SG : 要求仕様開発できていること SG : 制御仕様開発できていること SG : 実装できていること SG : 検証できていること SG : 適合できていること SS : 要求仕様書に対する変化点の影響チェックを実施 SS : 制御仕様書に対する変化点の影響チェックを実施 SS : エンストを回避する制御開発 SS : シミュレーションでエンストなきことを確認 SS : 適合定数に対する変化点の影響チェック 20

21 C : 新フリウスエンシン諸元 1. エンシン CAD テータ 2. 部品表構造図 3. 変更点変化点一覧 4. エンシン機能要求仕様 5. 相互影響マトリクス SG : 旧エンシン開発時にエンスト発生しないことが検証されていること S : 過去エンシンでエンストしないことを確認するエンシンストール D-Case 記述課題 SG : 市場でエンスト実績がないこと 1 差分開発 G : エンシンストールが発生しないこと S : 新エンシンに対する DRBFM を実施する C : DRBFM 1.DRBFM 手順書 2.DRBFM 妥当性 3.DRBFM 結果 S : 総合車両評価を実施する SG : 実ユースケースに従った車両評価できていること C : Engine Operating Condition 1. エンシン水温 2. 吸入空気温 3. 大気圧 4. 電気負荷 5. ハワステ状況 6. フレーキンク状況 7. エアコン運転状況 8. エンシン慣らし状況 SS : 過去の開発結果を検証しエンストなきことを確認する SS : 市場調査結果を検証しエンストなきことを確認する SS : EOC の複合条件による評価を実施する SG : 要求仕様開発できていること SG : 制御仕様開発できていること SG : 実装できていること SG : 検証できていること SG : 適合できていること SS : 要求仕様書に対する変化点の影響チェックを実施 SS : 制御仕様書に対する変化点の影響チェックを実施 SS : エンストを回避する制御開発 SS : シミュレーションでエンストなきことを確認 SS : 適合定数に対する変化点の影響チェック 21

22 C : 新フリウスエンシン諸元 1. エンシン CAD テータ 2. 部品表構造図 3. 変更点変化点一覧 4. エンシン機能要求仕様 5. 相互影響マトリクスエンシンストール D-Case 記述課題 G : エンシンストールが発生しないこと S : 過去エンシンでエンストしないことを確認する 2Prove In Use SG : 旧エンシン開発時にエンスト発生しないことが検証されていること SG : 市場でエンスト実績がないこと S : 新エンシンに対する DRBFM を実施する C : DRBFM 1.DRBFM 手順書 2.DRBFM 妥当性 3.DRBFM 結果 S : 総合車両評価を実施する SG : 実ユースケースに従った車両評価できていること C : Engine Operating Condition 1. エンシン水温 2. 吸入空気温 3. 大気圧 4. 電気負荷 5. ハワステ状況 6. フレーキンク状況 7. エアコン運転状況 8. エンシン慣らし状況 SS : 過去の開発結果を検証しエンストなきことを確認する SS : 市場調査結果を検証しエンストなきことを確認する SS : EOC の複合条件による評価を実施する SG : 要求仕様開発できていること SG : 制御仕様開発できていること SG : 実装できていること SG : 検証できていること SG : 適合できていること SS : 要求仕様書に対する変化点の影響チェックを実施 SS : 制御仕様書に対する変化点の影響チェックを実施 SS : エンストを回避する制御開発 SS : シミュレーションでエンストなきことを確認 SS : 適合定数に対する変化点の影響チェック 22

23 C : 新フリウスエンシン諸元 1. エンシン CAD テータ 2. 部品表構造図 3. 変更点変化点一覧 4. エンシン機能要求仕様 5. 相互影響マトリクス SG : 旧エンシン開発時にエンスト発生しないことが検証されていること S : 過去エンシンでエンストしないことを確認するエンシンストール D-Case 記述課題 SG : 市場でエンスト実績がないこと G : エンシンストールが発生しないこと S : 新エンシンに対する DRBFM を実施する C : DRBFM 1.DRBFM 手順書 2.DRBFM 妥当性 3.DRBFM 結果 3 想定外 S : 総合車両評価を実施する SG : 実ユースケースに従った車両評価できていること C : Engine Operating Condition 1. エンシン水温 2. 吸入空気温 3. 大気圧 4. 電気負荷 5. ハワステ状況 6. フレーキンク状況 7. エアコン運転状況 8. エンシン慣らし状況 SS : 過去の開発結果を検証しエンストなきことを確認する SS : 市場調査結果を検証しエンストなきことを確認する 3 想定外 SS : EOC の複合条件による評価を実施する SG : 要求仕様開発できていること SG : 制御仕様開発できていること SG : 実装できていること SG : 検証できていること SG : 適合できていること SS : 要求仕様書に対する変化点の影響チェックを実施 SS : 制御仕様書に対する変化点の影響チェックを実施 SS : エンストを回避する制御開発 SS : シミュレーションでエンストなきことを確認 SS : 適合定数に対する変化点の影響チェック 23

24 本日の内容背景標準化に対する 4 つの提案 OMG での国際標準化活動まとめ 24

25 OMG での国際標準化活動 2011 年末 :Requirement for Information (RFI) を発行 2012 年 6 月 :RFI に対するレスホンスを OMG で議論 2012 年 9 月 : 標準化に対する white paper を提出 2012 年 12 月 :Requirement for Proposal ドラフトを提出発行の見通しが立つ 2013 年 3 月 :RFP を発行 RFP 発行後最短 18 ヶ月で OMG 標準化を目指すその後 ISO 化を目指す 2013 年 12 月 : Initial Submission( 規格初案承認 ) 2014 年 9 月 : 最終規格承認 25

26 o 規格化目的 OMG 規格化方針 Dependable システムを効果的に開発 / 保証する標準 ( 方法論 ) を提供する他規格 (ISOxxxxxx) などを補完する o 規格内容 Dependability Assurance Case の導入 D-Case を規格化し保証議論の骨格とする Dependability Conceptual Model の導入規格全体像をメタモテルで表現可能にし保証議論の曖昧性を排除 Dependability Process Model の導入保証議論のフロセスを明確化し開発フロセスの中で議論可能とする消費者機械に対する D-Case を規格化 26

27 本日の内容背景標準化に対する 4 つの提案 OMG での国際標準化活動まとめ 27

28 まとめ自動車制御安全性認識の高まり消費者機械 Dependability 保証の国際標準化活動日本が得意とするものづくりの方法を標準化システムが正しく動作しているかどうか検証証明するにはテストを繰り返すしかない従来のシステム保証手法 (FMEA/FTA) を超えてどのようにシステムが正しいと判断したか記録を残し説明する OMG での国際標準化活動 28

29 Thank you 29

30 OMG 団体概要 Object Management Group(OMG) はソフトウェア開発の標準化に関する国際的オープンな非営利団体で 1989 年に発足企業大学官庁エントユーサーが OMG に加入し共同で様々な観点のソフトウェア開発統合に関する標準を開発する OMG は ISO への強力な標準化仕様提案団体となっており OMG への標準化提案は ISO 標準化への Fast-Track アフローチとなる可能性あり OMG を通じてソフトウェア開発の観点から Dependability 保証の方法論を規格化する 30

2 コンシューマデバイス規格 (Safety Sensitive Consumer Devices(SSCD)) の概要コンシューマデバイス規格自動車介護ロボットスマートハウス目的 : コンシューマデバイスという製品カテゴリーに対するディペンダビリティの保証特徴 : 日本主導型の製品の開発方法

1 ET-WEST 2014 IPA ブースプレゼン資料コンシューマデバイス規格における規格策定方法論 2014 年 07 月 29 日 ( 独 ) 産業技術総合研究所セキュアシステム研究部門システムライフサイクル研究グループ田口研治 2 コンシューマデバイス規格 (Safety Sensitive Consumer Devices(SSCD)) の概要コンシューマデバイス規格自動車介護ロボットスマートハウス

消費者機械安全保証 標準化活動 IPA コンシューマデバイス安全標準化 WG 委員 SICE 国際標準化委員トヨタ自動車株式会社エンシ ン技術開発部主幹 石崎直哉 2013/11/20 1

消費者機械安全保証標準化活動 IPA コンシューマデバイス安全標準化 WG 委員 SICE 国際標準化委員トヨタ自動車株式会社エンシン技術開発部主幹石崎直哉 2013/11/20 1