ISO 26262（アイエスオーニーロクニーロクニー）

2025年10月29日

ISO 26262（アイエスオーニーロクニーロクニー）

英語表記: ISO 26262

概要

ISO 26262は、自動車に搭載される電気・電子システム（E/Eシステム）の「機能安全」を確保するために策定された国際規格です。これは、組み込み機器（マイコンやECU）が故障や誤動作を起こした場合に、人命に関わる危険（ハザード）が発生するのを防ぐことを究極の目的としています。特に、自動運転技術や高度な電子制御が普及した現代において、組み込みシステムの信頼性を担保するための、自動車産業における最も重要な安全規格として位置づけられています。

詳細解説

組み込み機器における機能安全の必要性

ISO 26262が「組み込み機器（IoTデバイス, マイコン）→ セキュリティと安全性 → 安全規格」という文脈でなぜこれほど重要視されるのでしょうか。それは、現代の自動車が「タイヤのついた巨大な組み込みシステム」そのものだからです。ブレーキ、ステアリング、エアバッグ、さらにはバッテリー管理や運転支援システム（ADAS）に至るまで、すべてがマイコンとソフトウェアによって電子制御されています。

もし、これらの組み込みシステムが開発プロセス中の見落としや、運用中のランダムな故障によって誤作動を起こせば、重大な事故、すなわち人命に関わるハザードに直結します。ISO 26262は、このようなリスクをゼロに近づけるために、システム開発の初期段階（要件定義）から、設計、製造、そして廃車に至るまでのライフサイクル全体を通じて、守るべき厳格な要求事項を定めているのです。単に「丈夫な製品を作ればよい」というのではなく、「安全なプロセスで開発されたこと」を証明することを求めている点が特徴的ですね。

規格の主要な構成要素：ASILとVモデル

ISO 26262を理解する上で、核となる概念が二つあります。

1. ASIL (Automotive Safety Integrity Level)

ASIL（エーシル）は、システムが故障した際に引き起こされるリスクの度合いを示す指標です。これは、ハザードの発生確率、制御の容易さ、および結果の重大性に基づいて決定されます。ASILはA、B、C、Dの4段階があり、Dが最も厳格な安全要求レベルとなります。

ASIL D: 故障した場合の結果が最も重大で、制御が非常に困難なシステム（例：主要なブレーキ制御、ステアリング制御）。最高の厳格さで開発プロセスを管理する必要があります。
ASIL A: 故障しても比較的結果が軽微で、制御が容易なシステム（例：一部の車内エンターテイメント機能など、直接運転に関わらない機能）。

開発者は、まず開発対象の組み込みシステムがどのASILレベルに該当するかを特定し、そのレベルに応じたプロセス、設計、検証の厳格さを適用しなければなりません。このASILの特定こそが、安全規格遵守の第一歩となるのです。

2. Vモデルの適用

ISO 26262は、組み込みシステムの開発プロセス全体を網羅するために「Vモデル」を強く推奨しています。Vモデルは、要件定義からシステム設計（Vの左側）と、実装後のテスト・検証（Vの右側）を対応させる開発手法です。

安全規格におけるVモデルの適用は、単なるソフトウェア開発の進め方を示すだけでなく、「定義した安全要件が、最終製品のすべてのレベル（ソフトウェア、ハードウェア、システム全体）で確実に検証されたこと」を証明するための枠組みとして機能します。例えば、ASIL Dのシステムであれば、Vモデルのすべてのフェーズで非常に厳格なレビューと二重チェックが求められます。

システム的な故障とランダムな故障への対応

この規格は、組み込みシステムにおける二種類の故障に対応することを求めています。

システム的な故障（Systematic Failures）: 設計ミスやコーディングミス、仕様の誤解など、開発プロセスに起因する故障です。これらは、厳格なレビュー、検証、そして安全な開発プロセス（Vモデル）を適用することで防止します。
ランダムなハードウェア故障（Random Hardware Failures）: マイコンチップの劣化や、部品の物理的な故障など、予測不能に発生する故障です。これに対しては、二重化（冗長性）、フェイルセーフ設計、診断機能の組み込みといった、ハードウェアレベルでの対策が要求されます。

このように、ISO 26262は、組み込み機器の開発における「セキュリティと安全性」を、プロセスと技術の両面から徹底的に担保しようとする、非常に包括的な安全規格なのです。

具体例・活用シーン

ISO 26262は、組み込みシステムが搭載される自動車のあらゆる場面で適用されていますが、特に高度な電子制御が必要な分野での重要性が際立っています。

応用例

自動運転・運転支援システム (ADAS): 自動ブレーキ、車線維持支援、アダプティブクルーズコントロールといった機能は、すべてマイコンによってリアルタイムで制御されています。これらの組み込みシステムが故障することは許されないため、最高レベルのASIL DまたはCが適用され、冗長性の高い設計が必須となります。
電気自動車（EV）のバッテリー管理システム (BMS): バッテリーの過充電や過放電を防ぎ、熱暴走といった危険なハザードを回避するBMSも、機能安全の対象です。ここでも、マイコンによる精密な制御と、故障時の安全停止機構が求められます。

初心者向けの比喩：航空機のチェックリストと命綱

ISO 26262を初めて学ぶ方にとって、その厳格さは少し難しく感じるかもしれません。しかし、これは自動車開発における「航空機のチェックリストと高所作業の命綱」のようなものだと考えると、その目的が明確になります。

チェックリストのメタファー: 航空機が離陸する前、パイロットは膨大なチェックリストを一つ一つ確認しますよね。このチェックリストは、過去の事故の教訓や、考え得るすべてのリスクに基づいて作成されています。ISO 26262は、自動車の組み込みシステム開発における、この「絶対に守るべき安全チェックリスト」に相当します。単に「ブレーキが効く」ことを確認するだけでなく、「ブレーキが設計通りに、安全な手順で、万が一の故障にも備えて作られたこと」を、文書と証拠をもって確認する作業全体を指しているのです。

命綱のメタファー: また、高所で作業を行う職人は、必ず命綱とヘルメットを着用します。ISO 26262は、「この組み込みシステム（ECU）はASIL Dという非常に高い高さで作業しているのと同じだ。だから、必ず二重の命綱（冗長化設計）と、故障時に衝撃を吸収するヘルメット（フェイルセーフ機構）をつけなさい」と要求しています。この規格があるおかげで、私たちは電子制御された自動車に安心して乗ることができるのですね。