概要入門者を対象とした STAMP/STPA チュートリアル ( 時間のある限り ) 実際に手と頭を動かして分析を体験 [I] の手順を基に [T]3 章の方法を加えて系統的に解説 [T] の事例 ( 列車ドア自動開閉システム ) を分析参考資料 [I] はじめての STAMP/STPA, IP

Size: px

Start display at page:

Download "概要入門者を対象とした STAMP/STPA チュートリアル ( 時間のある限り ) 実際に手と頭を動かして分析を体験 [I] の手順を基に [T]3 章の方法を加えて系統的に解説 [T] の事例 ( 列車ドア自動開閉システム ) を分析参考資料 [I] はじめての STAMP/STPA, IP"

かおりひらみね
5 years ago
Views:

1 STAMP/STPA チュートリアル ( 入門編 ) 仙台高等専門学校岡本圭史

概要入門者を対象とした STAMP/STPA チュートリアル ( 時間のある限り ) 実際に手と頭を動かして分析を体験 [I] の手順を基に [T]3 章の方法を加えて系統的に解説 [T] の事例 ( 列車ドア自動開閉システム ) を分析参考資料 [I] はじめての STAMP/STPA, IPA (2016) [M] An STPA Primer

2 概要入門者を対象とした STAMP/STPA チュートリアル ( 時間のある限り ) 実際に手と頭を動かして分析を体験 [I] の手順を基に [T]3 章の方法を加えて系統的に解説 [T] の事例 ( 列車ドア自動開閉システム ) を分析参考資料 [I] はじめての STAMP/STPA, IPA (2016) [M] An STPA Primer Version 1, MIT (Aug.2013, updated Jun.2015) [T] Extending and Automating a System-Theoretic Hazard Analysis for Requirements Generation and Analysis, John Thomas, PhD. Thesis MIT (2013) 2

3 本発表における STPA の手順 [I] STPA の手順 [I] Step0 準備 1: アクシデント, ハザード, 安全制約の識別 Step1: UCA (Unsafe Control Action) の抽出 Step2: CF (Causal factor) の特定 Step1, Step2 に関しては [T]Chapter3 の方法を採用 Step0 準備 2: コントロールストラクチャーの構築 3

4 Step0 準備 1 の概説作業名称目的アクシデントハザード安全制約の識別アクシデントを定義する安全制約を導き出す入力 1 要求仕様書 2 [ ドメイン専門家 ] 処理 1 分析しようとするアクシデントが何であるかを定義する 2 アクシデントと成り得るハザードには何があるかを考える 3 ハザードの裏返しとなる程度の粒度で安全制約を導き出す出力 1 アクシデントハザード安全制約の一覧表備考アクシデント : 喪失 (Loss) を伴うシステムの事故ハザード : アクシデントにつながるシステムの状態安全制約 : システムが安全に保たれるために必要なルール例えば踏切制御システムにおいて踏切がいつまでも開かないのはサービス利用者提供者に経済的損失を与えたり精神的苦痛を与えることになることもあるが人の生命に関わる事柄に焦点を絞ったときにはアクシデントではないと定義できる出典 :[I] pp.15, 表手順 :Step0 準備 1アクシデントハザード安全制約の識別参考 :[M]pp.23, Establishing the System Engineering Foundation 4

5 定義 : アクシデントハザードアクシデント ([M]pp.23) 望まれない計画されていないイベントで, ロスへ至るものロス : 人命が失われる, 人が負傷する, 環境汚染, ミッション失敗等ハザード ([M]pp.25) システムの状態または条件の集まり最悪の環境条件の下で, アクシデントへ至る例 ([M]pp24, Table 1: Examples of accidents and hazards) アクシデント : 乗客が列車から落ちるハザード 1: 列車が動いているのにドアが開くハザード 2: 誰かが扉口にいるのにドアが閉じる 5

6 演習 0-1: アクシデントは? 電車ドア開閉システム [T] STPA Hazard Analysis アクシデントは? A-1:??? A-2:??? A-3: 緊急時に列車内に閉じ込められる (H-1,H-3) ロスは? 人命が失われる, 人が負傷するアクシデント : 望まれない計画されていないイベントで, ロスへ至るものハザード : システムの状態または条件の集まり, 最悪の環境条件の下で, アクシデントへ至る 6

7 演習 0-1: アクシデントの例電車ドア開閉システム [T] STPA Hazard Analysis アクシデントは? A-1: 列車から降りるときに負傷 (H-2) A-2: 閉まるドアに当たる (H1) A-3: 緊急時に列車内に閉じ込められる (H-1,H-3) ロスとして, 金銭や社会的信用を含めることで, 平常時に駅停車中に列車内に閉じ込められるもアクシデントとなる. アクシデント : 望まれない計画されていないイベントで, ロスへ至るものハザード : システムの状態または条件の集まり, 最悪の環境条件の下で, アクシデントへ至る 7

8 演習 0-1: ハザードは? 電車ドア開閉システム [T] STPA Hazard Analysis アクシデントは? A-1: 列車から降りるときに負傷 (H-2) A-2: 閉まるドアに当たる (H1) A-3: 緊急時に列車内に閉じ込められる (H-1,H-3) ハザードは? H-1:??? H-2:??? H-3: 緊急時なのに, 旅客あるいは乗務員が列車外へ出られない (A-3) アクシデント : 望まれない計画されていないイベントで, ロスへ至るものハザード : システムの状態または条件の集まり, 最悪の環境条件の下で, アクシデントへ至る 8

9 演習 0-1: ハザードの例電車ドア開閉システム今回は平常時に駅停車中に列車内に閉じ込められるはアクシデントではないので, 平常時に駅停車中にドアが開かないはハザードではない. [T] STPA Hazard Analysis アクシデントは? A-1: 列車から降りるときに負傷 (H-2) A-2: 閉まるドアに当たる (H1) A-3: 緊急時に列車内に閉じ込められる (H-1,H-3) ハザードは? H-1: ドア付近に人がいるのに, ドアが閉まる (A-2,A-3) H-2: 列車が走行中あるいは駅にいないのに, ドアが開く (A-1) H-3: 緊急時なのに, 旅客あるいは乗務員が列車外へ出られない (A-3) アクシデント : 望まれない計画されていないイベントで, ロスへ至るものハザード : システムの状態または条件の集まり, 最悪の環境条件の下で, アクシデントへ至る 9

10 Step0 準備 2 の概説作業名称目的コントロールストラクチャーの構築登場人物間の依存関係を制御構造図で表す制御主体と制御対象の間で行われる制御 ( サブシステム間の相互作用 ) には何があるかを明確化するその後の分析作業において理解し易いイメージを共有する入力 1 要求仕様書処理 1 要求仕様書から登場人物 ( ブロック ) を抽出する 2 要求仕様書から各ブロックの役割を抽出する 3 役割を果たすために必要な制御役割を果たした結果のフィードバックを抽出する 4 制御入出力情報 ( 情報を与えるのみで制御を行うわけではない ) の違いを分別する 5 ブロック間を矢印線で結び制御入出力を (?) センサー出力のようなフィードバックを制御と考える?? 出力 1 制御構造 ( コントロールストラクチャー ) 図備考ブロックの数は 4 つ程度が良いと言われているそれ以上多くなる ( 抽象度を下げる ) と以降の分析すべき組み合わせが多くなり集中しにくくなる検討漏れを起こしかねないので工夫が必要になる出典 :[I]pp.17, 表手順 :Step0 準備 2 コントロールストラクチャーの構築参考 :[M]pp.28 Functional Control Structure 10

11 CS 図作成の例 ([I]) 登場人物機能仕様 CS 図 11

12 演習 0-2: コントロールストラクチャ命令ドア開, ドア開停止ドア閉, ドア閉停止指示ドア開, ドア開停止ドア閉, ドア閉停止扉アクチュエータ運転士ステータス扉は開いている扉は閉じている etc. 扉コントローラ他の入力列車の動き ( 走行中, 停止中 ) 列車の位置 ( 駅, 駅間 ) 緊急指標 ( 火災検知, ガス検知 ) 扉センサフィードバック扉の位置機械的力扉機械的位置参考 :[T] Figure 12: Preliminary control diagram for an automated door controller 12

13 Step1 の概説作業名称 UCA(Unsafe Control Action: 非安全制御動作 ) の抽出目的ハザードにつながり得る制御動作の不具合を識別する ( 発想する ) 入力 1 UCAを導き出すための4つのガイドワード (4 分類 ) 2 アクシデントハザード安全制約の一覧表 3 制御構造図処理 1 UCA 識別の表を準備する 2 最上列に4つのガイドワードを記す 3 最左行に制御構造図中にある制御をすべて記す 4 各マスごとに当該 ( 最左行の ) 制御動作が当該 ( 最上列 ) 状況になった場合いずれかの安全制約違反に成り得るかを考える 5 安全制約違反に成り得るならば UCAであると判断する出力 1 縦軸 : 制御行動横軸 : ガイドワードとしたUCA 一覧表想定外を排除することを忘れないように出典 :[I]pp.19, 表手順 :Step1 UCAの抽出参考 :[M]pp.42, Identifying Unsafe Control Actions [T]pp80, 3.3 A Systematic Procedure to Identify Hazardous Control Actions 13

14 UCA の抽出 H-3: 緊急時なのに, 旅客あるいは乗務員が列車外へ出られない. 4 つのタイプコントロールアクションドア開ドア閉与えられないとハザード緊急時にもかかわらず, 扉コントローラがドア開命令を与えない [H-3] 与えられるとハザード早すぎ遅すぎ誤順序でハザード早すぎる停止長すぎる適用でハザード緊急時にもかかわらず, 扉コントローラがドア開命令を与えないコンテキスト : ハザードへ至る条件 ( これを識別するのが困難 ) [T]pp General Structure for Hazardous Control Actions UCA 識別のヒント ([T]pp.74, 3.2 Process model hierarchy) H-3: 緊急時なのに, 旅客あるいは乗務員が列車外へ出られない. SC-3: 緊急時には, 旅客あるいは乗務員は列車外へ出られる緊急指標 : 火災検知, ガス検知, 地震検知, コントロールアクションがハザードへ至る条件を記載 ( 至るハザードも記載 ) 緊急時?([T]pp.74, 3.2 Process model hierarchy) 詳細化列車が駅で停止中に, 火災検知された分解列車の位置 = 駅, 列車の動き = 停止中, 火災 = 検知列車の動き = 走行中等も考える必要があることが分かる 14

15 演習 1:UCA の抽出 H-1: ドア付近に人がいるのに, ドアが閉まる. H-2: 列車が走行中あるいは駅にいないのに, ドアが開く. H-3: 緊急時なのに, 旅客あるいは乗務員が列車外へ出られない. コントロールアクションドア開ドア閉与えられないとハザード緊急時にもかかわらず, 扉コントローラがドア開命令を与えない [H-3] 与えられるとハザード今回の演習早すぎ遅すぎ誤順序でハザードコントロールアクションがハザードへ至る条件を記載 ( 至るハザードも記載 ) 早すぎる停止長すぎる適用でハザード 15

16 例 :UCA の抽出 UCA にラベルを付けると便利. 例 :UCA-CA01-N, UCA-CA02-P 制御動作与えられないとハザード (N) 与えられるとハザード (P) 早すぎ遅すぎ誤順序でハザード (T) 早すぎる停止長すぎる適用でハザード (D) ドア開 (CA1) UCA-CA1-N1: 列車がプラットフォームで停止したのに, ドア開が命令されない.[ ハザードへ至らない ] 緊急避難のためのドア開が命令されない.[H-3] 人または障害物が扉口にいてドアが閉じつつあるのに, ドア開が命令されない.[H-1] 列車が動いているのに, ドア開が命令される.[H- 2] UCA-CA1-P2: 列車がプラットフォームで停車していないのに, ドア開が命令される [H-2] 列車が停止前あるいは動き出した後 ( 列車が動いていると同じ ) に, ドア開が命令される. [H-2] 列車が停止後, ドア開が遅すぎで命令される.[ ハザードへ至らない ] 緊急時に, ドア開が遅すぎで命令される.[H-3] 通常のドア開停止よりも, 早すぎるドア開停止が命令される.[ ハザードへ至らない ] 緊急停止時に, 早すぎるドア開停止が命令される. [H-3] ドア閉 (CA2) 列車が動く前に, ドア閉または再度のドア閉が命令されない. [H-2] 人または障害物が扉口にいるのに, ドア閉が命令される [H-1] 緊急避難時に, ドア閉が命令される.[H-3] 乗客が乗降りを終える前に, ドア閉が早すぎで命令される.[H- 1] 列車が動き出した後に, ドア閉が遅すぎで命令される.[H-2] ドアが完全に閉まっていないのに, 早すぎるドア閉停止が命令される [H- 2] [T]pp.66, Table 3: Potentially hazardous control actions for a simple automated door controller 16

17 UCA 表の形式化と集約 ( 発展 ) 条件をプロセス変数とその値の組に分解列車の動き = 走行中, 緊急指標 = 有, 列車位置 = プラットフォーム, ドア状態 = 開ハザードへ至る主要因 ( プロセス変数とその値 ) を探したい列車動き = 走行中, ドア状態 = 開他の変数の値に関係なくハザードへ至るどうやって主要因を見つけるか? 人手による発見表の規模は一般大きいので大変, 間違いやすい UCA 表の集約は自動化可能 ( 参考 : はじめての STAMP/STPA 実践編 ) 列車動き緊急指標列車位置ドア状態ハザード走行中有プラットフォーム開 Yes 走行中有プラットフォーム閉 Yes 走行中有プラットフォーム外開 Yes 走行中無プラットフォーム外開 Yes 走行中無プラットフォーム閉 No 走行中無プラットフォーム外開 Yes. 17

18 Step2 の概説今回は時間制約により, 一覧表ではなく個別シナリオを提示します. 作業名称目的 HCF(Hazard Causal factor: 誘発要因 ) の特定どのような HCF があったら UCA に成り得るのかを考えハザードシナリオを作る入力 1 HCF 特定のための11 個のガイドワード 2 制御構造図 3 UCA 一覧表処理 1 制御構造図からコントロールループを抜き出してその中の各制御に該当するガイドワードを割り当てる 2 [ 制御構造図中の各制御に該当するガイドワードを割り当てる ] 3 Step1で識別したUCA 毎にガイドワードをひとつづつ当てはめてみてハザードと成り得るかを考える 4 ハザードと成り得るならばどういう条件下で当該ガイドワードの事象が発生してその後どういうシステム挙動になったらハザードとなってアクシデントにつながるかのシナリオを作る出力 1 縦軸 :UCA, 横軸 : ガイドワードとしたハザード要因の一覧表 2 ハザードシナリオすべての UCA に夫々ガイドワードのすべてを当てはめて考える出典 :[I]pp Step2 HCF(Hazard Causal Factor) の特定参考 :[M]pp.48, Identifying the Causes of the Unsafe Control,[T]pp.102, 3.4 Identifying causal factor scenarios 18

19 コントロールループで安全制約を破られる原因の例 [I] 図コントロールループで安全制約を破られる原因の例 19

20 CF の識別の準備 (1) コントロールの入力か外部情報が欠けているか間違っている指示ドア開, ドア開停, ドア閉, ドア閉停止ステータス扉は開いている扉は閉じている他の入力列車の動き ( 走行中, 停止中 ) 列車の位置 ( 駅, 駅間 ) 緊急指標 ( 火災検知, ガス検知 ) 命令ドア開, ドア開停止ドア閉, ドア閉停止 (8) 不適切, 有効でない, 欠けたコントロールアクション扉アクチュエータコントロールアルゴリズム (2) 生成の欠陥, プロセスの変更, 不正確な修正や適応扉コントローラプロセスモデル (3) 矛盾, 不完全, 不正確 (1) コントロールの入力か外部情報が欠けているか間違っている (5) 不適切か欠けているフィードバック, フィードバックの遅れ扉センサフィードバック扉の位置 (7) 遅れたアクション機械的力扉 (4) コンポーネント故障, 経時変化 (10) 識別されないか範囲外の外乱機械的位置 (6) 情報が与えられないか間違っている, 測定が不正確, フィードバックの遅れ 20

21 CF の識別の例 1 UCA: 緊急時にもかかわらず, 扉コントローラがドア開命令を与えない [H-3] シナリオ : 扉コントローラはドア開命令を出したが, ドアが開かない. (1) コントロールの入力か外部情報が欠けているか間違っている指示ドア開, ドア開停, ドア閉, ドア閉停止ステータス扉は開いている扉は閉じている他の入力列車の動き ( 走行中, 停止中 ) 列車の位置 ( 駅, 駅間 ) 緊急指標 ( 火災検知, ガス検知 ) 命令ドア開, ドア開停止ドア閉, ドア閉停止 (8) 不適切, 有効でない, 欠けたコントロールアクション扉アクチュエータコントロールアルゴリズム (2) 生成の欠陥, プロセスの変更, 不正確な修正や適応扉コントローラアクチュエータ故障もCFだが, それ以外も考察すること! CF: 火災でアクチュエータが動作不能プロセスモデル (3) 矛盾, 不完全, 不正確 (1) コントロールの入力か外部情報が欠けているか間違っている (5) 不適切か欠けているフィードバック, フィードバックの遅れ扉センサフィードバック扉の位置 (7) 遅れたアクション機械的力 CF: 扉を閉じる際に障害物を挟み扉が動かない扉 (4) コンポーネント故障, 経時変化 (10) 識別されないか範囲外の外乱機械的位置 (6) 情報が与えられないか間違っている, 測定が不正確, フィードバックの遅れ [T] Identifying how safe control actions may not be followed or executed 21

22 CF の識別の例 2 [T] Identifying the causes of hazardous control actions (1) コントロールの入力か外部情報が欠けているか間違っている指示ドア開, ドア開停, ドア閉, ドア閉停止ステータス扉は開いている扉は閉じている他の入力列車の動き ( 走行中, 停止中 ) 列車の位置 ( 駅, 駅間 ) 緊急指標 ( 火災検知, ガス検知 ) 命令ドア開, ドア開停止ドア閉, ドア閉停止 (8) 不適切, 有効でない, 欠けたコントロールアクションコントロールアルゴリズム (2) 生成の欠陥, プロセプロセスモデルの欠陥 : 人または障害物がスの変更, 不正確な修扉口にないと勘違いし, 人または障害物が正や適応扉口にいるにもかかわらず扉アクチュエータ, ドア閉が命令される UCA: 人または障害物が扉口にいる機械的力のに, ドア閉が命令される [H-1] (7) 遅れたアクション扉コントローラ扉プロセスモデル (3) 矛盾, 不完全, 不正確 (4) コンポーネント故障, 経時変化 (10) 識別されないか範囲外の外乱シナリオ : 人が扉口に居るのに, 人が扉口に居ないというフィードバックがコントローラにあった. CF: センサ故障機械的位置 (1) コントロールの入力か外部情報が欠けているか間違っている (5) 不適切か欠けているフィードバック, フィードバックの遅れ扉センサ CF: 扉センサは動作していたが, 障害物が小さいため, 障害物が扉口に挟まっていることを検知しなかった. フィードバック扉の位置 (6) 情報が与えられないか間違っている, 測定が不正確, フィードバックの遅れ 22

23 演習 2:CF の識別 (1) コントロールの入力か外部情報が欠けているか間違っている指示ドア開, ドア開停, ドア閉, ドア閉停止命令ドア開, ドア開停止ドア閉, ドア閉停止 (8) 不適切, 有効でない, 欠けたコントロールアクションコントロールアルゴリズム (2) 生成の欠陥, プロセプロセスモデルの欠陥 : 人または障害物がスの変更, 不正確な修扉口にないと勘違いし, 人または障害物が正や適応扉口にいるにもかかわらず扉アクチュエータ, ドア閉が命令される UCA: 人または障害物が扉口にいる機械的力のに, ドア閉が命令される [H-1] (7) 遅れたアクション扉コントローラ扉ステータス扉は開いている扉は閉じているプロセスモデル (3) 矛盾, 不完全, 不正確 (4) コンポーネント故障, 経時変化 (10) 識別されないか範囲外の外乱シナリオ : 人が扉口に居るのに, 人が扉口に居ないというフィードバックがコントローラにあった. 今回の演習 : 他の CF は? CF: センサ故障機械的位置他の入力列車の動き ( 走行中, 停止中 ) 列車の位置 ( 駅, 駅間 ) 緊急指標 ( 火災検知, ガス検知 ) (1) コントロールの入力か外部情報が欠けているか間違っている (5) 不適切か欠けているフィードバック, フィードバックの遅れ扉センサ CF: 扉センサは動作していたが, 障害物が小さいため, 障害物が扉口に挟まっていることを検知しなかった. フィードバック扉の位置 (6) 情報が与えられないか間違っている, 測定が不正確, フィードバックの遅れ 23

24 まとめ STPA の手順 [I] Step0 準備 1: アクシデント, ハザード, 安全制約の識別 Step1: UCA (Unsafe Control Action) の抽出 Step2: CF (Causal factor) の特定 Step0 準備 2: コントロールストラクチャーの構築 [I] の STPA の手順に基づくチュートリアル Step1, Step2 に関しては [T] の方法を採用資料 [I] はじめての STAMP/STPA, IPA (2016) 資料 [M] An STPA Primer Version 1, MIT (Aug.2013, updated Jun.2015) 24

25 STAMP ワークショップ in Japan 第 1 回 STAMP ワークショップ in Japan 開催日 :2016 年 12 月 5 日 -7 日開催場所 : 九州大学参加者 :130 名トーマス博士によるチュートリアル公開中第 2 回 STAMP ワークショップ in Japan 開催日 :2017 年 11 月 27 日 -29 日開催場所 : 慶応大学三田キャンパス応募要領 :7 月初旬公開予定 25

目次 1. 目的 2. STPA の手順 3. エアバッグの要求仕様 4. Step 0 準備 1:Accident Hazard 安全制約の識別 5. Step 0 準備 2:Control Structure の構築 6. Step 1:UCA(Unsafe Control Action) の抽

STAMP/STPA 演習 ~ エアバッグの安全性分析 ~ 2017 年 9 月 22 日独立行政法人情報処理推進機構 (IPA) 技術本部ソフトウェア高信頼化センター (SEC) 石井正悟目次 1. 目的 2. STPA の手順 3. エアバッグの要求仕様 4. Step 0 準備 1:Accident Hazard 安全制約の識別 5. Step 0 準備 2:Control Structure