IoT化の波を受けて新たな一歩を踏み出した我が国の家庭用電気・ガス製品の安全確保政策　～第３回～

ガイドラインの検討にあたり、遠隔操作においては直接被害と間接的な被害が明確に分離できない状態で混在しており、遠隔操作時に、例えば機器の近くにいる家族などが間接的な被害を受けるリスクが、実は傍観できないほど高いのではないかという問題意識が提起された。

また、間接的な被害に焦点を当てるのならば、安全機能の適用だけでは十分なリスク低減効果を見込むことができず、チャイルドロック・障害物自動回避・消し忘れ防止・沸騰検知時の蒸気発生の低減、転倒時の自動消灯・24時間運転停止時の自動復帰制御などの、従来製造メーカが任意で追加してきた「安全機能には含まれない付加的な安全向上対策」が、業界全体で広く適用されるように積極的に推奨すべきではないかとの提言が成された。

この提言を受けて、安全規格などを補完するものとして、ガイドラインに予防安全機能の概念が導入された。

ここではまず基本を整理するため、一旦遠隔操作は置き、「電気用品等製品自体の安全をさらに向上させる対策」の観点で予防安全機能の概念を整理してみる。図１に照らして考えれば、予防安全機能は基本的には「間接的な被害のリスクを低減する機能」にあたる。

この機能は安全機能には含まれておらず、安全規格などに適合することも求められていないため、ガイドラインで機能の適用を推奨する政策的な意義が生じる。「間接的な被害のリスクを低減する機能」としては、例えば以下のようなものがある。これらは狭義の予防安全機能と考えることができる。

• チャイルドロック
• 障害物自動回避
• 消し忘れ防止
• 沸騰検知時の蒸気発生の低減
• 電気スタンドの転倒時の自動消灯
• 24 時間運転停止時の自動復帰制御 など

その後ガイドラインの検討が進展し、「安全機能には含まれていないものの、直接被害対策として安全規格などでカバーされている機能」として、火傷防止などの温度コントロール（例︓サーモスタット）があることが分かったため、予防安全機能には「安全規格等への適合が求められるものの、安全機能には含まれない安全向上対策」が含まれるとの整理となった（図２参照）。

なお、製品の通常機能と予防安全機能の境界はあいまいであり、両者を明確に区別することは難しいというのが現在の考え方である。このため、火傷防止のための温度コントロール機能は「通常機能を兼ねる」予防安全機能として整理されている。

ここまでは「電気用品等製品自体の安全をさらに向上させる対策」の観点で、間接的な被害のリスク低減と、予防安全機能の概念の基本を整理してきた。以降ではこの整理をベースとして、予防安全機 能の概念を遠隔操作のリスク低減対策として適用できるように拡張する。

まずは、ガイドラインが予防安全機能をどのように定義しているかを以下に示す。この定義から考察するに、ガイドラインは例えば次のような被害・危害を、予防安全機能によって低減することを念頭に置いているものと考えてよい。

• 遠隔操作により起動された機器が周辺の環境と干渉して生じる、間接的な出火による火災
• 遠隔操作により起動された機器が、近くにいる家族に直接または間接的に生じさせる、火傷、熱中症、子供の溺れなどの危害 など

　また、ガイドラインでは、予防安全機能の主な例を提示している（表１参照）。

予防安全機能は、図２で示したように安全規格などがカバーしているものとそれ以外に分類できる。この構造は、「遠隔操作の安全をさらに向上させる」場合であっても、「電気用品など製品自体の安全をさらに向上させる」場合であっても、本質的には変わることはない。但し、「遠隔操作の安全をさらに向上させるための予防安全機能」はより多岐多様に亘っている。

調査報告書の図表 2-12 からその対策機能を抜粋すると表２のようになる。

ここで、「遠隔操作の安全をさらに向上させる」ための予防安全機能は、「電気用品等製品自体の安全をさらに向上させる」ための予防安全機能との関わりにおいて、基本的に次の３つに分類することができる。

i.「電気用品等製品自体の安全をさらに向上させる」ための予防安全機能を不適切に停止させず、動作をしっかりと継続させるための対策

ii.「電気用品等製品自体の安全をさらに向上させる」ための予防安全機能だけでは低減が難しい遠隔操作のリスクを、効果的に低減させるための補完的な対策

iii.「電気用品等製品自体の安全をさらに向上させる」ための予防安全機能とは関りのない新たな対策（通信遮断後の安全状態の維持、遠隔操作で ON された機器の一定時間後の停止）

上記の関係も踏まえながら、「遠隔操作の安全をさらに向上させる」ための予防安全機能の範囲と、安全規格などのカバレージについて図３に取りまとめた。

なお、図中に「通信回線との分離・ソフトウェア分割（なりすまし使用を含む誤使用対策等）」という記述が見られるが、「通信回線との分離」は異常発生時に安全機能や予防安全機能を防護するため遠 隔操作に依存する機能をこれらの機能から切り離すことを、そして「ソフトウェアの分割」は通信回線を用いた遠隔通信を制御するソフトウェアと安全機能／予防安全機能のソフトウェアをモジュールに分割することを、それぞれ示している。

これらの詳細については、次稿（第 4 稿）で詳しく述べる。

「遠隔操作の安全をさらに向上させる」ための予防安全機能は多岐・多様に亘っているため、自分が安全設計で適用しようとしている機能が表2のどの分類に属しているのかを正確に判断することは、実は結構難しい。

例えば、だいたいの機能が「遠隔操作の制限」であるような気がしてしまうものである。１つ例示してみると、「異常時に遠隔操作者に危険な操作を警告して止めさせる機能」は、遠隔操作を制 限しているように見えるが、分類上は「間接的な被害の注意」となる。

このような困難な状況を踏まえ、調査報告書では図表 2-13 で「予防安全機能の分類のための判断基準」を示している。本稿では、これをさらに分かりやすくロジックダイアグラムの形にまとめて図４に提示したので、ご参考にしていただきたい。

通常の遠隔操作時においては、機器の使用上の注意として「使用条件、使用上のリスク・注意点」を遠隔操作者・使用者に情報提供することに加えて、ガイドラインでは「機器のセキュリティ性能についての提供条件」を示し、これを提供する手段を確保することを求めている。

一方、遠隔操作によって機器に異常が発生した場合には、ガイドラインでは、遠隔操作者・使用者に異常を通知する手段を確保するとともに、手元操作の優先や近くにいる使用者による通信回線切り離しなどの取るべき対応について情報提供することを求めている。

この際のポイントは、遠隔操作者・使用者が能動的な行動を行う上での①知識、②契機となる警報、③行動手段 を情報提供することであると言える。以下に、ガイドラインが提示した情報提供の例を示す。

• 遠隔操作中に遠隔監視できなくなった場合（通信異常など）、能動的な行動を行う上でどのような点に注意すべきか（例︓機器が自動的に停止する旨など）についての情報提供
• 不正アクセスを含む通信故障が発生したことの警告や、これに対して能動的な行動を取るための手段についての情報提供 など

さらに、機器の近くにいる使用者が能動的に行動しやすいように、容易な通信回線の切り離しや手元操作を優先する仕組みを徹底することも求められている。

使用者に能動的な行動を求めていく上でのもう１つの重要な要素として、使用者によるソフトウェアのダウンロード／アップデートがある。使用者が能動的にソフトウェアダウンロード／アップデートを実施することを促すために、ガイドラインでは以下に示すような対応を求めている。

ここで第４項目の実現にあたっては、予防安全機能（間接的な被害の注意）を適用していくことが期待される。

• 遠隔操作者に必要な情報を提供する手段を確保すること
• 機器のソフトウェアアップデートに係る提供条件を情報提供すること
• 機器のソフトウェアアップデートの提供方法（アップデート手順などを含む）を情報提供すること
• 使用者自身がソフトウェアダウンロード／アップデートを実施するにあたり安全に行動できるように、情報提供に加えて、異常発生や不適切な遠隔操作への警告を行うとともに、異常発生時に使用者などの安全を確保する対策を適用すること

なお、機器の特性などによっては、やむを得ず、ソフトウェアのアップデートができない「通信回線への接続を構成するデバイス」が機器内に組み込まれている場合がある。当該デバイスに潜在するソフトウェア脆弱性に対応できるようにするため、ガイドラインは製造事業者が製品の修理・メンテナンスを行う際に、当該デバイスを分離・交換できるようにすることを求めている。

また、遠隔操作者に対し、交換時期を情報提供することも要求している。交換時期を遠隔操作者に伝えるのは、遠隔操作者の能動的な行動を促すためと解釈することもできそうである。