JIS C 0508-7:2017 電気・電子・プログラマブル電子安全関連系の機能安全―第７部：技術及び手法の概観 | ページ 8

34
C 0508-7 : 2017 (IEC 61508-7 : 2010)
        支援ツールは,その統合度に合わせて選択することが望ましい。この意味で,ツールは,一方の
      ツールからの出力が,その次のツールへの自動入力に適したコンテンツ及びフォーマットをもち,
      これによって中間結果の再加工時にヒューマンエラーを持ち込む可能性を最小限に抑えるように協
      働する場合,統合されているといえる。

参考文献

参考文献

――――― [JIS C 0508-7 pdf 36] ―――――

                                                                                             35
                                                                C 0508-7 : 2017 (IEC 61508-7 : 2010)
    ANSI/IEE 1028:1997,IEEE Standard for software reviews
    Dependability of Critical Computer Systems 3. P. G. Bishop et al., Elsevier Applied Science, 1990, ISBN
        1-85166-544-7
B.3.8 ウォークスルー
    注記 この技術及び手法は,JIS C 0508-2の表B.2及び表B.6で引用されている。
目的 : 仕様と実装との間の不一致を明らかにする。
説明 : 安全関連系の草案で規定した機能を調査し,評価して,安全関連系がこの仕様の要求事項に適合し
      ていることを確実にする。製品の実現及び使用に関する疑わしい点及び潜在的弱点がある場合は,
      これらを解決するように文書化する。検査とは逆に,ウォークスルーにおいては,作成者は能動的
      であり,検査者は受動的である。

参考文献

参考文献

――――― [JIS C 0508-7 pdf 37] ―――――

36
C 0508-7 : 2017 (IEC 61508-7 : 2010)
      するシステム設計及び作業場の設計を考慮することによって,次の事項を確実にする必要がある。
      − 人間の操作の必要性を,絶対的最小限に制限する。
      − 必要な操作はできる限り単純にする。
      − オペレータの誤りから生じる危害の可能性を最小限に抑える。
      − 操作装置及び指示装置は,人間工学的要求事項に従って設計する。
      − 操作装置は単純で,十分なラベル表示によって,直感的に使用できるものとする。
      − オペレータが,極端な状況においても,過度な緊張を強いられることがない。
      − 被訓練使用者の知識水準及び動機付け状態に応じて,操作手順及び操作装置についての訓練を
          行う。
B.4.3 保全のしやすさ
    注記 この技術及び手法は,JIS C 0508-2の表B.4で引用されている。
目的 : 安全関連系の保全手順を単純化し,有効な診断及び修理に必要な手法を設計する。
説明 : 予防保全及び修理は,多くの場合,困難な環境下で,期限に押されながら実施される。したがって,
      安全関連系の開発者は,次の事項を確実にすることが望ましい。
      − 安全関連保全処置は極力必要ではないようにし,理想的には,全く必要でないようにする。
      − 不可避の修理のために,十分で,有効な,取り扱いやすい診断ツールを含め,ツールは全ての
          必要なインタフェースを含むことが望ましい。
      − 別の診断ツールを開発するか,又は入手が必要になった場合,これらを適時に入手できること
          が望ましい。
B.4.4 運用の可能性の制限
    注記 この技術及び手法は,JIS C 0508-2の表B.4及び表B.6で引用されている。
目的 : 通常使用者による運用可能性を減少させる。
説明 : このアプローチは,次の事項によって,運用可能性を減少させる。
      − 運用を特別な運転モード内に制限する,例えば,キースイッチによる。
      − 運転要素の数を制限する。
      − 一般的に可能な運転モードの数を制限する。

参考文献

参考文献

――――― [JIS C 0508-7 pdf 38] ―――――

                                                                                             37
                                                                C 0508-7 : 2017 (IEC 61508-7 : 2010)
B.4.6 運転員の間違いに対する保護
    注記 この技術及び手法は,JIS C 0508-2の表B.4及び表B.6で引用されている。
目的 : 運転員の全ての種類の間違いからシステムを保護する。
説明 : 誤入力(値,時間など)を,確からしさのチェック又はEUCの監視によって検出する。これらの
      装置を設計に組み込むためには,入力の種類を考え,どのような入力を許容するかを,非常に早い
      段階で定める必要がある。
B.4.7 (不使用)
B.4.8 改変からの保護
    注記 この技術及び手法は,JIS C 0508-2の表A.17(決定論的運用フォールトを管理するための技法
          及び手段)及び表A.18で引用されている。
目的 : 安全関連系を,技術的手段によるハードウェアの改変ができないように保護する。
説明 : 改変又は改ざんを,例えば,センサ信号についての確からしさのチェック,技術的処理による検出
      及び自動的始動テストによって,自動的に検出する。改変を検出した場合,緊急制御動作を行う。
B.4.9 インプットの確認応答
    注記 この技術及び手法は,JIS C 0508-2の表A.17及び表A.18で引用されている。
目的 : 運転中の誤りを,EUCを作動させる前に運転員自身によって検出する。
説明 : 安全関連系経由のEUCへの入力を,運転員が誤操作を検出して訂正できるように,EUCに送る前
      に運転員に送り通知する。システム設計では,異常な,非誘発性の人的動作と同様に,人間の反応
      の速度上限又は下限及び方向を考慮することが望ましい。このことによって,例えば,運転員が予
      期するよりも速くキーを押し,そのため,システムが2回のキーストロークを1回のキーストロー
      クと読み違えたり,システム(ディスプレイ)の最初のキー操作に対する反応が遅すぎて,キーを
      2回押してしまったりすることを避ける。重要データの入力の場合,同一キーストロークは,続け
      て2回以上のときは有効でないものとすることが望ましい。すなわち,“enter”又は“yes”キーを
      何回も押すことによって,システムの危険な動作に至らないようにする必要がある。
        運転員が判断することができず,システムを待機させておくこともできない場合のために,多選
      択肢をもつ質問(はい,いいえなど)を備えたタイムアウト手順を含むことが望ましい。
        安全関連PE系を再起動できるようにする場合は,ソフトウェア及びハードウェアの両方におい
      て,再起動を留意して設計しないと,システムを損傷させやすい。
B.5   E/E/PE系の統合
全般 : 統合フェーズ中の故障を回避し,このフェーズ及び以前のフェーズ中に起こった故障を明らかにす
      る。
B.5.1 機能テスト
    注記 この技術及び手法は,JIS C 0508-2の表B.3(E/E/PE系の統合中のフォールトを回避するため
          の技法及び手段)及び表B.5並びにJIS C 0508-3の表A.5(ソフトウェア設計及び開発−ソフ
          トウェアモジュールテスト及び統合),表A.6[プログラマブル電子装置統合(ハードウェア及

――――― [JIS C 0508-7 pdf 39] ―――――

38
C 0508-7 : 2017 (IEC 61508-7 : 2010)
          びソフトウェア)],表A.7(ソフトウェアのシステム安全妥当性確認),表C.5(決定論的安全
          度に関する特性−ソフトウェア設計及び開発−ソフトウェアモジュールテスト及び統合),表
          C.6[決定論的安全度に関する特性−プログラマブル電子装置の統合(ハードウェア及びソフト
          ウェア)]及び表C.7(決定論的安全度に関する特性−システム安全妥当性確認のソフトウェア)
          で引用されている。
目的 : 仕様作成及び設計フェーズ中の故障を明らかにする。実装中及びソフトウェアとハードウェアとの
      統合中の故障を回避する。
説明 : 機能テスト中,システムの規定の特性を達成しているかどうかを確認するために,レビューを実施
      する。システムには,通常,期待する動作を十分に特徴付ける入力データを与える。出力を観察し,
      出力の応答を,仕様で規定したものと比較する。仕様からの逸脱及び仕様の不完全さの表れを文書
      化する。
        マルチチャネルアーキテクチャ用として設計した電子構成部品の機能テストには,通常,前もっ
      て妥当性確認した対になる構成部品と一緒に製造時にテストした構成部品を含める。さらに,隠さ
      れたままになってしまう共通モードフォールトを明らかにするために,構成部品は同じバッチの他
      のパートナーとなる構成部品と組み合わせて,製造時にテストすることを推奨する。
        さらに,システムの作業容量は,十分とする必要がある。C.5.20を参照する。

参考文献

――――― [JIS C 0508-7 pdf 40] ―――――

次のページ PDF 41