Embedded Systems Specialist Examination study materials
Embedded Systems Specialist Examination study resources

曖昧な顧客要求を検証可能な要求仕様に落とす

Embedded Systems Specialist Examination · Put your knowledge to work in context.

All case studies

曖昧な顧客要求を検証可能な要求仕様に落とす

在宅医療向け携帯型輸液ポンプの新製品開発。顧客(医療機器メーカー)から提示された要求文は「流量精度は臨床的に問題ないこと」「バッテリは1日以上もつこと」「誤操作を防止すること」の3行のみである。目標仕様として、流量範囲1〜500 mL/h(常用10〜50 mL/h)、流量精度はIEC 60601-2-24準拠(定常±5%以内)、連続動作8時間以上、重量400 g以下、単3電池4本または専用Liイオン電池、と社内で決まっている。ハード担当は「モータとポンプ機構の選定を先に決めたい」、ソフト担当は「流量補正はソフトで行う前提でよいか」と主張し、要求レビューは未実施のまま設計が進みかけている。誤操作防止についてはUIの話として片づけられそうになっている。看護師へのヒアリングでは「チューブ交換後の再開時に流量が一時的に低下する」「電池残量表示が急に0になる」という声が上がっている。規制対応としてISO 14971のリスク管理と、IEC 62304のソフトウェア安全クラスB(想定)が適用される。開発はあと10か月で設計凍結、量産はその6か月後である。

1. 提示された3行の要求を、検証可能な要求仕様に書き換えよ。各要求について、定量化の方法とレビューで確認すべき点を示せ。

Read the worked answer

ポイントは「誰がどう測るか(受入基準)」「どの条件で(環境・使用条件)」「どこまで許容するか(トレードオフの明示)」の3点を要求文に埋め込むこと。

  1. 「流量精度は臨床的に問題ないこと」 → 「流量設定1〜500 mL/hの全範囲で、定常状態の流量誤差は設定値の±5%以内(IEC 60601-2-24の試験方法に準拠、背圧0/13.3/26.6 kPa、各30分)。起動後60秒以内およびチューブ交換後の再開時は、60秒間の積算流量が設定値の±10%以内に収束すること」。曖昧語を規格の試験条件に置き換え、過渡状態を別要求として切り出す。ヒアリングで出た「再開時に流量が低下する」は、まさにこの過渡要求の欠落が原因である。

  2. 「バッテリは1日以上もつこと」 → 「常用流量50 mL/h、25℃、新品電池で連続8時間以上。残量警告は残り30分時点で発報し、警告後の流量精度は±10%以内。残量表示の誤差は実残量の±10%以内」。何をもって1日とするかの根拠(在宅での使用実態、交換頻度)を顧客と合意する。ここが未合意のまま設計すると、後工程で仕様変更になる。

  3. 「誤操作を防止すること」 → これはUI要求ではなくリスクコントロールである。ISO 14971で危険状態(過量注入、流量停止の見逃し、誤設定)を特定し、リスクコントロール手段として「設定値の上限クランプ」「変更時の二段確認」「閉塞検知とアラーム」を要求化し、それぞれに検証試験を定義する。

進め方: 要求ID・根拠(顧客/規格/リスク)・受入試験・トレーサビリティ先を必須項目にした要求仕様書テンプレートを先に作り、「臨床的に」「十分な」「適切に」を禁止語リストでレビュー時に検出する。

2. 流量精度をハード(ポンプ機構・モータ)で担保するか、ソフト補正で担保するか。配分の判断基準と、その決定がIEC 62304の安全クラスに与える影響を論じよ。

Read the worked answer

考え方: 流量精度は「機構の送液むら」「モータ回転の制御分解能」「チューブ特性のばらつき」「背圧・温度変動」の合成で決まる。±5%をいきなりどちらかに割り当てるのではなく、誤差要因に分解して配分する(誤差配分)。例えば機構の脈動に±3%、モータ制御に±1%、センサ・補正残差に±1%と割り当て、二乗和または最悪値加算で±5%に収まることを確認する。

判断基準

  • ソフト補正で吸収できるのは再現性のある誤差(回転数と流量の非線形性、電圧・温度ドリフト)に限る。ランダムな脈動やチューブのロットばらつきはソフトでは消せない。したがって「再現性のない誤差はハードで小さくする」。
  • ソフト補正はコストが安いが、補正テーブルの校正工程と経時変化の保証が必要になる。製造工程に校正を追加できるか(タクト・設備投資)が現実的な制約になる。
  • 電池電圧低下でモータ特性が変わるため、電圧補償はソフト側が妥当。

IEC 62304への影響: ソフトが流量の安全上限を超える誤差を検出して停止するなら、その機能はクラスBの要求(アーキテクチャ設計、単体テスト、トレーサビリティ)を満たす必要がある。ソフトを「補正のみ」に限定し、過量注入の防御をハード(流量リミッタ)に置けばソフト要求は軽くなるが、コストと重量が増える。

→ 「防御はハード、精度向上はソフト」に分けるのが妥当。その前提でクラスBの要求範囲を設計初期に確定させ、ソフト担当の主張(補正はソフト前提)を無条件に受け入れない。