セーフティクリティカルシステム

セーフティクリティカルシステム（safety-critical system）もしくはライフクリティカルシステム（life-critical system）とは、故障や誤動作により、次のいずれか（または複数）の結果が生じる可能性があるシステムである。

人が死ぬか重症を負う機器や財産の損失または重大な損害環境への害

安全関連システム（または安全関与システム）は、1つ以上の安全機能を実行するために必要なすべてのもの（ハードウェア、ソフトウェア、および人的側面）で構成され、その機能不全は、関係する人々または環境の安全リスクを大幅に増加させる。安全関連システムとは、人命の損失、重傷、または深刻な環境被害などの危険を制御する完全な責任を負わないシステムのことである。安全関与システムの機能不全は、他のシステムの故障またはヒューマンエラーと相まってのみ危険となる。英国の安全衛生庁(HSE)など、一部の安全組織は、安全関連システムに関するガイダンスを提供している。

この種のリスクは通常、安全工学の手法とツールを使って管理されます。安全性が極めて重要なシステムは、稼働時間10億時間(109時間) あたり1人の損失に抑えられるように設計されている。典型的な設計手法には、故障モード影響解析(FMEA)とフォルトツリー解析(FTA)を組み合わせた手法である確率的リスク評価がある。安全性が重要なシステムは、ますますコンピューターベースになっている。

セーフティクリティカルシステムは、複数の重要な障壁の失敗によって脅威がどのように重大な事故にまで拡大するかを (通常は蝶ネクタイ分析で) 表すために使用される概念であり、スイスチーズモデルとともによく用いられる。この使用は、特にプロセス安全性の分野で一般的になり、特に石油、天然ガスの採掘生産分野に置いて、説明目的と、資産の完全性管理や事故調査などの手助けの両方で適用される場合が多くなっています。

信頼性技術セーフティクリティカルなシステムには、いくつかの信頼性技術が存在する。

フェイルオペレーショナルシステムは、制御システムが故障しても動作を続ける。これらの例としては、エレベーター、ほとんどの家庭用ストーブのガスサーモスタット、受動的に安全な原子炉などがある。フェイルオペレーショナルモードは安全でない場合がある。米国では通信途絶時の核兵器発射はフェイルオペレーショナルであるが、リスクが大きすぎると考えられため却下された。これは、ソビエト時代に構築されたフェイルデッドリーである死の手システムとは対照的である。フェイルソフトシステムは、故障の場合でも効率を落として暫定的に動作を継続することができる。 Most spare tires are an example of this: They usually come with certain restrictions (e.g. a speed restriction) and lead to lower fuel economy. Another example is the "Safe Mode" found in most Windows operating systems. フェイルセーフシステムは、動作不能になったときに安全になる。多くの医療システムがこのカテゴリに該当します。たとえば、輸液ポンプが故障しても、看護師に警告してポンプを停止すれば、安全間隔が十分に長く、人間が対応できるため、生命の危険はない。同様に、産業用または家庭用の石油、ガス機器が故障しても、安全モードで故障する必要がある(つまり、障害を検出すると燃焼を停止する)。よく知られているように、コマンドで発射する核兵器システムは、通信システムが故障すると発射を命令できないため、フェイルセーフである。鉄道信号はフェイルセーフになるように設計されている。フェイルセキュアシステムは、動作できないときに最大限のセキュリティを維持する。たとえば、フェイルセーフ電子ドアは停電時にロックが解除される一方、逆にフェイルセキュア電子ドアはロックされ、エリアのセキュリティが維持される。フェイルパッシブシステムは、システム障害が発生した場合でも動作を続ける。例としては、航空機の自動操縦装置が挙げられる。障害が発生した場合、航空機は制御可能な状態のままになり、パイロットが引き継いで旅程を完了し、安全に着陸することができる。フォールトトレラントシステムは、システムに障害が発生した場合にサービス障害を回避する。例としては、通常の原子炉の制御システムがある。障害を許容する通常の方法は、複数のコンピューターを使用してシステムの各部を継続的にテストし、障害が発生したサブシステムのホットスペアをオンにすることである。障害が発生したサブシステムが通常のメンテナンス間隔で交換または修理されている限り、これらのシステムは安全であると見なされる。人間が使用するコンピューター、電源、制御端末は、これらのシステムで何らかの方法ですべて冗長化されている必要がある。

セーフティクリティカルなシステムのためのソフトウェアエンジニアリングセーフティクリティカルなシステムのソフトウェアエンジニアリングは特に困難です。ライフクリティカルなシステムのエンジニアリングソフトウェアを支援するために適用できる 3 つの側面があります。 1つ目はプロセスエンジニアリングと管理です。次に、システムに適切なツールと環境を選択します。これにより、システム開発者はエミュレーションによってシステムを効果的にテストし、その有効性を観察することができます。第三に、航空に関する連邦航空局の要件など、法的および規制上の要件に対処します。システムを開発する際にそれに従って開発する必要がある標準を設定すると、設計者はその要件に従うことが強制されます。航空電子工学産業は、生命に不可欠な航空電子工学ソフトウェアを作成するための標準的な方法を生み出すことに成功しました。同様の規格が、一般的な業界 (IEC 61508)、特に自動車業界 (ISO 26262)、医療業界 (IEC 62304)、および原子力業界 (IEC 61513) に存在します。標準的なアプローチは、システムを注意深くコーディング、検査、文書化、テスト、検証、分析することです。もう 1 つのアプローチは、運用システムとコンパイラを認証し、仕様からシステムのコードを生成することです。別のアプローチでは、形式的手法を使用して、コードが要件を満たしていることの証明を生成する。、人は間違いを犯すものであり、これらの間違いが潜在的な生命を脅かすエラーの最も一般的な原因であるため、これらのアプローチが開発プロセスの手動ステップをテストまたは排除することによって、セーフティクリティカルなシステムのソフトウェア品質を向上させる。

セーフティクリティカルなシステムの例

インフラ

遮断器緊急通報システム発電、送電、配電自動火災報知器電気ヒューズ生命維持システム通信

医療テクノロジー要件は、失敗の回避を超えて、集中治療医学 (患者の治癒に対処する) や延命治療 (患者の状態を安定させるため) にまで及ぶ。

人工心肺装置麻酔器機械換気装置輸液ポンプとインスリンポンプ放射線治療装置ロボット支援手術装置除細動器ペースメーカー人工透析機重要な機能を電子的に監視する装置（電位検査、特に心電図-ECG,EKG、および脳波検査-EEG）医療用撮像装置 (レントゲン, コンピュータ断層撮影- CT or CAT, 核磁気共鳴画像装置- MRI- , ポジトロン断層法- PET) 医療情報システムであっても、安全性に重大な影響を及ぼしうる。

核技術

原子炉制御システム

石油、天然ガス採掘

レクリエーション

ジェットコースター登山用具パラシュートスキューバ用具ダイビング用リブリーザーダイビングコンピュータ

輸送

信号保安及び制御システムホーム検知装置自動列車停止装置(ATS)Wayback Machine

自動車

エアバッグブレーキシートベルトパワーステアリング先進運転支援システムバッテリーマネジメントシステムドライブ・バイ・ワイヤ

航空

航空交通管制システムアビオニクス,特にフライ・バイ・ワイヤ電波航法エンジン制御システム高高度における生命維持装置飛行に必要な燃料を決定する飛行計画

宇宙飛行

有人宇宙飛行ロケット射場安全装置ローンチ・ヴィークル安全性打ち上げ脱出システム発射台避難設備

セーフティクリティカルシステム

Źródło i licencja