DO-254（ディーオーニーゴーヨン）

2025年10月30日

DO-254（ディーオーニーゴーヨン）

英語表記: DO-254

概要

DO-254は、「航空機搭載電子ハードウェアの設計保証（Design Assurance Guidance for Airborne Electronic Hardware）」に関する国際的な標準規格です。これは、航空機の飛行を制御したり、安全に直結したりする電子機器（特に半導体チップを含むハードウェア）が、設計ミスや故障のリスクなく確実に動作することを保証するための、厳格な開発プロセスを定めています。半導体技術（FPGA, ASIC）の文脈においては、これらのカスタムLSIが航空機に組み込まれる際に、求められる信頼性・安全性を達成するための必須のセーフティ規格として機能します。

詳細解説

DO-254は、米国のRTCA（Radio Technical Commission for Aeronautics）によって策定され、欧州のEUROCAEでもED-80として採用されている、事実上の国際標準です。この規格の最大の目的は、航空機に搭載されるハードウェアが、その機能の重要度に応じて適切なレベルの設計保証（Design Assurance）を受けていることを証明することにあります。

なぜ半導体技術の文脈で重要なのか

現代の航空機には、フライトコントロールシステムやナビゲーションシステムなど、極めて重要な機能にFPGA（Field-Programmable Gate Array）やASIC（Application Specific Integrated Circuit）といった高度なカスタム半導体が使用されています。これらのカスタムLSIは、柔軟性が高い反面、一度設計ミスが発生すると、飛行中の致命的な事故につながりかねません。

DO-254は、単にハードウェアが完成した後にテストするだけでなく、設計の初期段階から、要件定義、実装、検証、そして構成管理に至るまでのライフサイクル全体を通じて、徹底したトレーサビリティと文書化を要求します。これにより、設計の意図が正しく反映され、潜在的なバグが早期に発見される仕組みが構築されます。

主要な要素：DAL（設計保証レベル）

DO-254の核となる概念の一つが「DAL（Design Assurance Level：設計保証レベル）」です。これは、ハードウェアの故障が航空機全体に与える影響度によって5段階（AからE）に分類されます。

DAL A（カタストロフィック／壊滅的）: 故障が航空機の墜落など、最も深刻な結果を引き起こす可能性がある場合。最も厳格な検証プロセスが求められます。
DAL B（ハザード／危険）: 深刻な負傷や多数の死亡につながる可能性がある場合。
DAL C（メジャー／重大）: 運航上の問題を引き起こすが、重大な事故には直結しない場合。
DAL D（マイナー／軽微）: 軽微な運航遅延などにつながる場合。
DAL E（影響なし）: 航空機の安全運航に影響がない場合。

私たちが普段使うスマートフォンやPCの半導体設計では、ここまで厳密なレベル分けは行いませんから、このDALの存在こそが、セーフティ規格としてのDO-254の重みを物語っていると言えるでしょう。DAL Aのハードウェア設計では、すべての設計ステップにおいて独立した検証者によるレビューが必須となり、膨大な量の証拠文書（エビデンス）が必要になります。

信頼性・安全性の確保プロセス

DO-254が要求するプロセスは、単なる機能テストを超えています。特に、半導体技術の検証において重要なのは、以下の点です。

詳細な要件定義: 曖昧さを排除し、ハードウェアが何をすべきかを明確に定義します。
低レベル設計（LLD）の厳格化: FPGAのロジックやASICの回路レベルの設計まで、すべてが要件に結びついていることを確認します。
トレーサビリティ: 要件、設計、テストケース、結果がすべて一貫して追跡可能であること（トレーサビリティ）を保証します。これは、なぜこの回路が必要なのか、そしてそれが正しく実装されたのかを、第三者（認証機関）が監査できるようにするためです。

この徹底したプロセス管理こそが、航空機に搭載される半導体の信頼性・安全性を担保する鍵なのです。

具体例・活用シーン

DO-254は、航空機産業特有の規格ですが、その思想は他の高度なセーフティクリティカルな分野にも応用されています。

活用シーン：航空機のフライトコントロールシステム

フライトコントロールコンピュータ: 航空機の翼や舵を動かす制御信号を生成するコンピュータは、DAL AまたはBに分類されます。このコンピュータに搭載されるFPGAやASICは、DO-254に準拠した設計・検証プロセスを経て開発されます。もし、この半導体の設計に小さなバグが潜んでいた場合、予期せぬタイミングで制御不能に陥る可能性があるため、設計者は徹底的に検証を行います。
コックピットディスプレイ: 飛行情報や警告を表示するディスプレイシステムは、通常DAL C程度に分類されます。故障しても直ちに飛行の安全に影響はありませんが、パイロットの判断を誤らせる可能性があるため、やはりDO-254に従います。

初心者向けのアナロジー：宇宙船のネジ一本の物語

DO-254の厳格さを理解するために、建物の建設に例えてみましょう。

私たちが住む一般の家（DAL E〜D）を建てるとき、設計図は大切ですが、多少の設計変更や手抜きがあっても、すぐに倒壊するわけではありません。しかし、DO-254が適用される航空機（特にDAL A）は、宇宙船のようなものです。

想像してみてください。宇宙船の設計図にある「ネジ一本」について、設計保証を求められる状況です。

要件定義: 「このネジは、マイナス100℃からプラス150℃の環境で、10トンの引張力に耐えること」と定義します。
トレーサビリティ: このネジの設計が、宇宙船全体の「船体維持」という最上位要件にどう貢献しているかを、文書で紐づけます。
検証: 製造されたネジが、実際に10トン以上の力に耐え、温度変化に影響されないことを、第三者（認証機関）が納得できる形でテストし、その証拠（エビデンス）をすべて保管します。

もしこのネジがFPGAの回路の一部だとしたら、その回路が意図通りに動作しない可能性を、設計プロセスのあらゆる段階で検証し尽くす。DO-254は、この「ネジ一本（回路一つ）」に至るまでの、絶対に失敗が許されない設計保証の物語なのです。だからこそ、半導体技術者がこの規格に対応するのは、非常に高い技術力と忍耐が求められる、大変な作業だと感じます。