　これらの確証方策は、開発する製品の安全度水準（ASIL：Automotive Safety Integrity Level）や確証方策の対象となるものに応じて、求められる独立性が変わります。最も厳しい安全レベルを要求するASIL Dの製品では、多くの確証方策が開発を担当した組織とは別系統の組織で行われることを要求しています。つまり、機能安全の新しい責務に対しては、どんな能力を持った人が実行するのかを検討するだけでなく、これらの活動が高い独立性を維持するにはどんな組織が必要なのか、どんな指示系統にすべきかといった組織論的な切り口の検討も必要になってくるのです。

　確証方策の狙いは、以下に示した2点に尽きると思います。

客観的な視点かつ違った切り口（成果物からの切り口やプロセスからの切り口）でチェックすることで、開発当事者では見落としてしまうものを発見する
発見された安全上の見落としが、ビジネス上の圧力（コストや納期）を受けることなく確実に取り上げられ、解決される

　どんな人を機能安全活動に割り当てるのか、どんな組織を作るのか、その組織にどんな機能を持たせるのかといった課題は、それぞれの会社の事情に合わせて工夫するしかありません。しかし、どんな対応策であれ、この規格が求める活動の狙いをくみ取った対応策でなければなりません。そうでないと、形式上規格要求を満たしているが、活動自体に何の効果もなく、規格準拠のための単なるアリバイ作りという事態になりかねません。

　例えば、確証方策は形式的なチェックしかなされておらず、安全上の見落としが見つかることはほとんどないといった事態は、実施される側にとっても、実施する側にとっても不幸です。

　大切なのは、製品開発の中で行われる数々の検証活動をもすり抜けてしまうような安全上の見落としをいかに捕捉するかという点です。そのための対応策を、組織の特徴や強みを生かした活動とすることこそ、実質的な成果を出す近道なのです。

確証方策の補足

　宇宙開発分野では、資本的に独立した組織が実施するIV&V（Independent Verification ＆ Validation）という活動があります。国際宇宙ステーションの開発時にNASAからの提案でJAXA（当時はNASDA）が取り入れ、適用されています。この活動は、まさに独立した組織が客観的な立場で製品（成果物）に対する評価を、必要に応じて高度な技術（ハザード解析や形式検証など）を駆使して行います。現在、このIV&V活動は、有人宇宙システム社が担当しており、多くの宇宙機開発の中で適用されています。この例は、評価の専門家として独自の技術を磨いている例です。確証方策を考える上で、製品寄りの知識・経験を重視する会社もありますが、この宇宙分野の例のように客観的な観点での評価ノウハウを重視するという考え方もあります。もちろん、どちらかが正しくて、どちらかが間違っている訳ではありませんので、会社の事情、方針などを考慮して決めればよいと思います。

ギャップ分析

　GAP（ギャップ）分析は、現状のプロセスがISO 26262の求める要求をどの程度満たしているか、何が満たしていないのかといったプロセス間のギャップを明らかにする作業です。本稿では、計画立案の後に実施するような流れになっていますが、現状、多くの場合機能安全要求に対応するプロセスがほとんどないことがあらかじめ分かっているという理由で、ギャップ分析を実施しないケースも多いようです。むしろ、プロセス定義を進めながら、その都度規格との適合性を見極めて方向性を確認していく、いわば走りながら振り返るようなアプローチが増えています。

　また、最近では既に機能安全対応を義務付けられた製品開発も始まっており、そこで開発された作業成果物（例えば技術安全要求やシステム設計書など）が規格に適合しているかを確認する「確証レビュー」に近い作業依頼も増えつつあります。

　プロセスを構築する作業に実際の製品開発プロジェクトをどう絡ませるかは、企業ごとの戦略・計画に依存しますので、それに合わせてギャップ分析や適合性アセスメントを計画するのがよいでしょう。適合性アセスメントについては「プロセス実装」のところでも述べたいと思います。

トレーニング

　機能安全のトレーニングは、機能安全活動に携わる人を対象に相応の知識を持ってもらうために実施するケースと、ISO 26262のPart2（機能安全の管理）、「5.4.3 能力管理」中にある「5.4.3.1 組織は安全ライフサイクルに関わる人々が、その責務に対応する十分なレベルの技能、能力及び資格を持っていることを保証しなければならない」という要求、つまり資格付与のために実施するケースがあります。表3は、資格付与を前提としたトレーニングコースの例です（DNVビジネス・アシュアランス・ジャパンの場合）。

表3　トレーニングコースの例（クリックで拡大）

　安全管理者向けや機能安全アセッサー向けのトレーニングは、おおむね5日間程度で行うのが一般的なようです。参加者の多くは、本業である「製品開発」に携わる方々ですから、5日間にわたって拘束することは開発現場に大きな影響を与える可能性があります。早い段階からの十分な根回しが必要でしょう。

　こうした「能力管理」や「教育プログラム」による資格付与というアプローチは、技術者の出入りが活発な欧米の社会環境が背景にある考え方で、日常業務の中での「人育て」を重視する日本的な考え方からすると違和感を持つ人も多いようです。こうした考え方が果たして日本企業にも大きな恩恵があるのかと考えると、筆者自身も疑問は残ります。しかし、国際化対策と割り切って、受け入れざるを得ないのが現実です。

　これについては、日本的な良いプロセス（人育て）を捨てるのではなく、現状の良いやり方を生かしつつ、欧米的なやり方を取り入れる「和魂洋才」的なスタンスに立って取り組む必要があるのかもしれません。

　次回は、「プロセス実装」について解説します。お楽しみに！