機能安全とは
機能安全とは、電気・電子・プログラマブル電子（E/E/PE）制御の機能を新たに付け加えることで、リスクを下げる措置です。 部品の丈夫さに加えて、危険を検知して安全な側へ倒す仕組みが要になります。
厚生労働省の委託事業として中央労働災害防止協会がまとめた機能安全活用テキストは、平成28年厚生労働省告示第353号「機能安全による機械等に係る安全確保に関する技術上の指針」の用語をそのまま採用しています。そこでの機能安全は、上のとおり「E/E/PE制御の機能を付加することにより、リスクを低減するための措置」です。
この一文だけを読むと、何が新しいのかが見えにくいところです。同テキストは、本質安全との対比で示しています。ロボットの可動部が隙間を作る場合、その隙間を人体寸法以上の広さに保つ構造にすれば、挟まれるという危険源そのものが除かれます。これが本質安全です。ボイラーであれば、蓄えるエネルギーが爆発に至る量より小さい状態にあたります。
いっぽう、挟圧状態を検出してロボット可動部の出力を制御したり、圧力や温度をもとにボイラーの燃焼を制御したりする方法が機能安全です。同テキストは、危険源の危険性の大きさを調節するアプローチである、とまとめています。危険源は残ったまま、電子回路とソフトウェアがそれを見張る形になります。
見張る側の回路が黙って壊れると、危険はそのまま通り抜けます。同テキストが安全機能を「故障がリスクの増加に直ちにつながるような機械の機能」としているのは、この事情によります。機能安全の話が信頼性試験の先まで続くのは、壊れにくさに加えて、壊れたときにどちらへ倒れるかが問われるためです。
水準は、確率で決められます
Section titled “水準は、確率で決められます”安全度水準（SIL）は、安全関連システムの信頼性の水準を表す区分です。同テキストは、安全機能ごとに目標失敗尺度を割り当てる手順を示しています。作動要求の頻度が低いモードでは作動要求当たりの機能失敗平均確率（PFDavg）を、高頻度作動要求または連続モードでは危険側失敗の平均頻度（PFH）を使います。
| 安全度水準（SIL） | 低頻度作動要求モードのPFDavg | 高頻度作動要求または連続運転モードのPFH［1/h］ |
|---|---|---|
| SIL1 | 10−2以上 10−1未満 | 10−6以上 10−5未満 |
| SIL2 | 10−3以上 10−2未満 | 10−7以上 10−6未満 |
| SIL3 | 10−4以上 10−3未満 | 10−8以上 10−7未満 |
| SIL4 | 10−5以上 10−4未満 | 10−9以上 10−8未満 |
同テキストの表5-1に示された値です。水準が1つ上がるごとに、許される失敗の確率が1桁ずつ下がります。SIL4のPFHは1時間あたり10のマイナス9乗の水準ですから、単純な計算では、およそ11万年に1回という頻度にあたります。
同テキストは、この目標失敗尺度をFMEDA（故障モード・影響・診断解析）によって求めるとしています。さらに、安全度水準は危険側故障確率と共通原因故障確率の合計で決まるとも述べています。冗長にした2系統が同じ原因で同時に壊れてしまえば、二重にした意味が失われるためです。
メーカーが渡しているのは、書類です
Section titled “メーカーが渡しているのは、書類です”半導体メーカーの側では、この要求がどう現れるのでしょうか。ロームの機能安全ページとComfySILパンフレットによれば、同社は2015年からISO 26262のプロセス構築を開始し、2018年3月にドイツの第三者認証機関であるTÜV RheinlandからISO 26262の開発プロセス認証を取得しました。2018年12月に改訂されたISO 26262 2nd Editionでは、新たに半導体パートが追加されたとしています。
パンフレットは、ISO 26262プロセスに対応するための作業成果物の種類数を部門別に挙げています。管理が12種、システムが11種、ハードウェアが14種、ソフトウェアが17種、生産が13種、支援プロセスが27種、安全分析が7種です。同社の2021年10月時点の資料に示された区分と数です。
ハードウェアそのものの14種より、支援プロセスの27種のほうが多いところが、この体系の性格を示しています。安全計画、構成管理計画書、文書化管理計画、ソフトウェアツールの認定報告書といった、作り方と記録の管理に関わる成果物が並びます。ルネサス エレクトロニクスの機能安全ページも、要件を満たしたシステムを設計して認証を受けるには多大な労力と時間が必要で、既存の非安全システム開発に比べてコストが増え、製品リリースが遅れるリスクを持つ、と述べています。
「機能安全対応」の中身は、1つではありません
Section titled “「機能安全対応」の中身は、1つではありません”ロームは自社の機能安全製品を3つのカテゴリに分け、それぞれで提供できる資料を公開しています。同社の区分です。
| 提供資料 | FS process compliant | FS mechanism implemented | FS supportive |
|---|---|---|---|
| IATF 16949プロセス対応 | 対応 | 対応 | 対応 |
| ISO 26262プロセス対応 | 対応 | ── | ── |
| FMEA | 対応 | 対応 | 対応 |
| FIT | 対応 | 対応 | 対応 |
| FMEDA | 対応 | 対応 | 対応（※） |
| Safety manual | 対応 | 対応 | ── |
※同社は、FS supportiveのFMEDAにはハードウェアアーキテクチャメトリック等の分析が含まれない、と注記しています。
FS process compliantはASILレベルに準拠したISO 26262対応プロセスで開発したICであること、FS mechanism implementedはASILレベルに必要な安全機構を搭載したICであること、FS supportiveは車載向けに開発したICで安全分析のサポートが可能であることを示します。同社は現在、自動車分野のみに対応しているとしています。
3つの区分で違うのは、素子の丈夫さではなく、渡される根拠の範囲です。この表を読めるかどうかで、「機能安全対応品」という言葉から受け取れる情報が変わります。
使い方の前提も、根拠の一部です
Section titled “使い方の前提も、根拠の一部です”ロームの品質・信頼性ハンドブック（2026年8月 rev.001）は、ミッションプロファイルという考え方を説明しています。半導体デバイスが製品寿命を通して受ける温度・湿度・温度変化・通電状態などの負荷条件と、時間の関係をまとめたプロファイルです。
同ハンドブックが挙げる例では、動作温度保証範囲がTj = −40℃〜150℃、市場稼働15年（累積通電時間12000時間）という仕様の製品でも、使用温度の分布と時間には偏りがあります。接合温度10℃で500時間、65℃で500時間、95℃で8000時間、115℃で2000時間、135℃で1000時間という配分の例が示されています。同社が挙げた一例です。
故障率の見積もりは、この配分の上に立ちます。同じ製品でも、組み込まれる機器が変われば数字が変わります。同ハンドブックがミッションプロファイルの提供を求めているのは、そのためです。機能安全の数値は、製品の属性というより、製品と使い方の組で決まる値だと言えます。
よくある質問（FAQ）
Section titled “よくある質問（FAQ）”機能安全とは何ですか？
電気・電子・プログラマブル電子（E/E/PE）制御の機能を新たに付け加えることで、リスクを下げる措置です。厚生労働省委託の機能安全活用テキストは、平成28年厚生労働省告示第353号の指針にあるこの言い方をそのまま用いています。
本質安全との境目はどこですか？
危険源そのものを取り除くか、危険源の大きさを制御で調節するかが違います。同テキストは、ロボットの可動部が作る隙間を人体寸法以上の広さに保つ構造にするのが本質安全であり、挟圧状態を検出して可動部の出力を制御するのが機能安全である、と記しています。
丈夫な部品を使えば機能安全になりますか？
部品の丈夫さに加えて、2つの条件が要ります。機能安全は、故障が起きたときに安全な側へ倒れる仕組みと、その確からしさを示す根拠の両方を求めます。同テキストは、安全機能を「故障がリスクの増加に直ちにつながるような機械の機能」としています。
安全度水準（SIL）とは何ですか？
安全関連システムの信頼性の水準です。同テキストが示す目標失敗尺度の表では、高頻度作動要求または連続運転モードのとき、安全機能の危険側失敗の平均頻度がSIL1で1時間あたり10のマイナス6乗以上10のマイナス5乗未満、SIL4で10のマイナス9乗以上10のマイナス8乗未満とされています。
規格はISO 26262だけですか？
分野ごとに別の規格が立っています。ルネサス エレクトロニクスの機能安全ページは、車載向けのISO 26262、産業機器やロボット向けのIEC 61508、家電向けのIEC/UL60730を挙げています。
半導体メーカーは何を提供するのですか？
製品そのものに加えて、根拠となる書類を提供します。ロームの公開資料では、FMEA、FIT、FMEDA、Safety manualなどが機能安全カテゴリごとの提供資料として一覧にされています。
「機能安全対応」と書いてあれば同じ意味ですか？
中身は3種類あります。ロームは自社の機能安全カテゴリを3種類に分け、ISO 26262対応プロセスで開発したことを示すもの、必要な安全機構を搭載したことを示すもの、安全分析のサポートが可能であることを示すものを区別しています。
比較・違いを学ぶ
Section titled “比較・違いを学ぶ”- 信頼性試験とは ── 壊れにくさを確かめる側
- トレーサビリティとは ── 根拠の連鎖が切れていないかを支える側
この記事の事実は、誰でも読める公開資料を根拠とし、各URLの到達可否をこちらで実測しています。したがって、リンク先が移動または消滅した場合は、その旨をこのページへ反映します。
- 中央労働災害防止協会「機能安全活用テキスト」平成29年度厚生労働省委託事業、平成30年3月（2026年8月30日にリンク生存を実測、200）── 平成28年厚生労働省告示第353号にもとづく機能安全・安全機能・安全度水準の用語定義、本質安全と機能安全の対比（ロボットの隙間を人体寸法より狭くしない構造、挟圧状態の検出による出力制御、ボイラーの燃焼制御）、表5-1の目標失敗尺度（SIL1〜SIL4のPFDavgとPFHの範囲）、目標失敗尺度をFMEDAで求めること、安全度水準を危険側故障確率と共通原因故障確率の合計で判定すること
- ローム「機能安全」（2026年8月30日にリンク生存を実測、200）── 2015年からのISO 26262プロセス構築、2018年3月のTÜV Rheinlandによる開発プロセス認証取得、2018年12月改訂のISO 26262 2nd Editionでの半導体パート追加、ComfySILブランドとSILの語、機能安全カテゴリ3種と提供資料一覧、FS supportiveのFMEDAに関する注記
- ローム「ロームの機能安全（ComfySIL）パンフレット」Catalog No.64X7314J（2026年8月30日にリンク生存を実測、200）── ISO 26262プロセス対応書類の部門別の種類数（管理12種、システム11種、ハードウェア14種、ソフトウェア17種、生産13種、支援プロセス27種、安全分析7種）、支援プロセスに含まれる成果物の例、2021年10月時点で自動車分野のみに対応していること
- ローム「品質・信頼性ハンドブック」2026年8月 rev.001（2026年8月30日にリンク生存を実測、200）── ミッションプロファイルの定義、動作温度保証範囲Tj = −40℃〜150℃・市場稼働15年（累積通電時間12000時間）の製品における接合温度別の時間配分の例、ミッションプロファイルがアプリケーションによって異なること
- ルネサス エレクトロニクス「機能安全」（2026年8月30日にリンク生存を実測、200）── 車載向けISO 26262・産業機器向けIEC 61508・家電向けIEC/UL60730という分野別の規格、認証取得に多大な労力と時間が必要でコスト増と製品リリース遅延のリスクを伴うこと