第 8 回クリティカルソフトウェアワークショップ 8 th Workshop of Critical Software (WOCS2011) Modeling and Hazard Analysis using STPA ~STAMP/STPA を用いた安全解析手法の検討 ~ M

Size: px

Start display at page:

Download "第 8 回クリティカルソフトウェアワークショップ 8 th Workshop of Critical Software (WOCS2011) Modeling and Hazard Analysis using STPA ~STAMP/STPA を用いた安全解析手法の検討 ~ M"

えりかひきぎ
5 years ago
Views:

1 第 8 回クリティカルソフトウェアワークショップ 8 th Workshop of Critical Software (WOCS2011) Modeling and Hazard Analysis using STPA ~STAMP/STPA を用いた安全解析手法の検討 ~ Massachusetts Institute of Technology (MIT) Takuto Ishimatsu, Nancy Leveson, John Thomas 宇宙航空研究開発機構情報計算工学センター片平真史宮本裕子有人宇宙システム ( 株 ) 安全開発保証部中尾春香 ( 発表者 ) 1

2 目次研究目的 STAMP/STPA JAXA HTV( コウノトリ ) での試行システム飛行運用の概要紹介キャプチャフェーズへのSTPA 適用 STPAの有効性として確認できたこと今後の取り組み 2

STPA (STAMP-Based Process Analysis) STAMP/STPA のハザード解析手法としての有効性を評価する STPA

3 研究目的 ~MIT と JAXA 及び JAMSS 間の共同研究 ~ 目的 STAMP/STPA の宇宙システムへの適用可能性を分析し適用時の課題についての解決策を検討する STAMP (Systems-Theoretic Accident Model and Processes) STPA (STAMP-Based Process Analysis) STAMP/STPA のハザード解析手法としての有効性を評価する STPA の結果と FTA に基づく安全解析書 (*1) との比較 STPA FTA (*1) 安全解析書 : システムが安全要求に合致しているかハザードが適切に制御できているか否かを示した文書 3

4 STAMP/STPA 4

5 STAMP/STPA システム理論に基づく事故モデル : STAMP (Systems Theoretic Accident Model and Processes) 安全解析手法 : STPA (STAMP Based Process Analysis) 特性コンポーネント故障に着目するのではなくコントローラ同士の相互作用を伴う動作に忍び込む問題に着目する事故はコンポーネント故障によってのみ起きるのではなく危険な状態を導く動作に対して安全制約が徹底されていないことでおきると捉える 2 故障許容設計などの故障対策ではなく安全制約を識別し設計に組み込むことに重きを置く設計の初期フェーズから利用可能 5

6 事前準備 STAMP/STPA の流れハザードの識別とハイレベルの安全要求安全制約の識別 Control Structure Diagram の定義 Control Structure Diagram ( 例 ) Step1. 不適切な制御アクションによるハザードシナリオの識別 Step2. Action is: 1Not Provided 2Incorrectly provided 3Provided Too Early, Too Late, or Out of Sequence 4Stopped too soon ハザードシナリオにつながる潜在原因の識別 Potential cause への対策検討要すれば設計見直し (Eliminate or Control) 出展 : Nancy Leveson 著 Engineering a Safer World 6

7 Step1. 不適切な制御アクションによるハザードシナリオの識別 ~Inadequate Control Action~ 不適切な制御アクションは以下の 4 つの一般的なカテゴリに落としこまれる 1. Not Provided A required control action to maintain safety is not provided. 2. Incorrectly Provided An incorrect or unsafe control action is provided that induces a loss. 3. Provided Too Early, Too Late, or Out of Sequence A potentially correct or adequate control action is provided too early, too late, or out of sequence. 4. Stopped Too Soon A correct control action is stopped too soon. 7

8 Step2. ハザードシナリオにつながる潜在原因 (Causal Factor) の識別潜在原因の候補出展 : Nancy Leveson 著 Engineering a Safer World 8

9 JAXA HTV( コウノトリ ) での試行 9

HTV( コウノトリ ) のシステム概要 HTV の主要諸元 Items Specifications 宇宙ステーション補給機 (H-II Transfer Vehicle: HTV) 愛称 : コウノトリ HTV 1 号機 : (2009 年 9/10 打ち上げ 11/2 再突入 ) HTV 2 号機 : (2011 年 1/20 打ち上げ予定 ) 全長直径質量推薬補給能力

10 HTV( コウノトリ ) のシステム概要 HTV の主要諸元 Items Specifications 宇宙ステーション補給機 (H-II Transfer Vehicle: HTV) 愛称 : コウノトリ HTV 1 号機 : (2009 年 9/10 打ち上げ 11/2 再突入 ) HTV 2 号機 : (2011 年 1/20 打ち上げ予定 ) 全長直径質量推薬補給能力廃棄品搭載能力軌道最長ミッション期間 9.8 m (including thrusters) 4.4 m 10,500 kg 燃料 : MMH 酸化剤 : MON3 (Tetroxide) 6,000 kg - 与圧区 : 4,500 kg - 非与圧区 : 1,500 kg Max. 6,000 kg 高度 : km 軌道傾斜角 : 51.6 degrees Solo flight: 100 時間 Stand-by (on-orbit): > 1 週 Berthed with ISS: Max. 30 日間 10

11 HTV 飛行運用概要 ISS: International Space Station 11

12 キャプチャフェーズへの STPA 適用 HTV 飛行運用の概要 : 1. 種子島からH-IIBロケットで打ち上げ 2. ISSへのランデブ 3. ロボットアームによる把持 ( キャプチャ ) 4. ISSへのドッキング 5. アンドック /ISSからの離脱 6. 再突入 12

事前準備. ハザードの識別とハイレベルの安全要求安全制約の識別ロボットアームによる HTV キャプチャを行うフェーズでの HTV の ISS への衝突及びミッション喪失をハザードとして識別安全のための対策地上からのコマンドにより HTV のスラスタ制御がオフされた直後に ISS クルーがロボットアーム操作によって HTV をキャプチャするキャプチャ失敗時など緊急時は ISS

13 事前準備. ハザードの識別とハイレベルの安全要求安全制約の識別ロボットアームによる HTV キャプチャを行うフェーズでの HTV の ISS への衝突及びミッション喪失をハザードとして識別安全のための対策地上からのコマンドにより HTV のスラスタ制御がオフされた直後に ISS クルーがロボットアーム操作によって HTV をキャプチャするキャプチャ失敗時など緊急時は ISS クルーからのコマンドにより危険を回避する ( 図 1) 図 1 クリティカルコマンドのためのパネルパネルからのクリティカルコマンド : ABORT アボート緊急待避 RETREAT ISS の下 30m または 100m 地点まで後退 HOLD その場に停止 FRGF SEP Separate the Flight Releasable Grapple Fixture (FRGF) を分離する FREE DRIFT キャプチャのため HTV のスラスタ制御をオフ 13

14 事前準備 Control Structure Diagram の定義 ( トップレベル : 抽象レベル 0) 14

15 Step1. 不適切な制御アクションによるハザードシナリオの識別キャプチャ時の通常のコマンドシーケンスを識別するコマンドシーケンスで出現するコマンドを対象に一般的な4つのカテゴリに当てはめ不適切な制御アクションを識別する不適切な制御アクションによるハザードシナリオを識別する表 1 キャプチャ時の通常のコマンドシーケンス短時間 15

16 表. ハザードシナリオにつながる不適切な制御アクションの識別 Category 1 Not Provided Category 2 Incorrectly Provided クルーからのクリティカルコマンド (Abort, Free Drift, FRGF Sep など ) が誤って送出されるというシナリオも考慮する Category 3 Provided Too Early, Too Late, or Out of Sequence Category 4 Stopped Too Soon 16

17 識別されたハザードシナリオ ~Hazardous Control Behavior~ (1a) HTV がロボットアームにミスキャプチャされた危険な状態で FRGF を分離できず HTV が回転し始めロボットアームに衝突する (1b) HTV がキャプチャ可能領域から徐々に外れていった状態で HTV をアクティベート ( 制御開始 ) するコマンドが来ない又は遅れることで HTV が浮遊状態のまま ISS に衝突する (2a) アクティベート状態のままキャプチャするとこのミスキャプチャが HTV への外乱となり意図しない姿勢制御またはアボートとなる (2b) ロボットアームによるキャプチャ前に FRGF が意図せず分離され FRGF の機構部分が浮遊物となり ISS へ衝突するまたミッションも喪失する (Ca) ロボットアームが浮遊状態になった HTV を誤って小突くことで HTV が回転し始め ISS に衝突する (Cb) キャプチャが中途半端に終わり HTV がロボットアームに固定されていない状態となって回転し始めロボットアームに衝突する (3a) FRGF 分離がイネーブルの状態で FRGF 分離が実行され HTV をアクティベートするコマンドが来ない又は遅れることで HTV が浮遊状態のまま ISS に衝突する (3b) HTV がロボットアームに把持された状態で HTV がアクティベートされロボットアームからの張力が HTV への外乱となり意図しない姿勢制御またはアボートとなる 17

18 Step2. ハザードシナリオにつながる潜在原因 (Causal Factor) の識別 (1b) HTV がキャプチャ可能領域から徐々に外れていった状態で HTV をアクティベーション ( 制御開始 ) するコマンドが来ない又は遅れることで HTV が浮遊状態のまま ISS に衝突する 18

19 STPA にて識別された潜在原因 ISS 機器故障クルーによるミスオペ ( アクティベーションコマンドを打たない ) ISS クループロセスモデルの矛盾アクティベーションの非実施 / 不適切アクティベーションの遅延 HTV 機器故障 ( マルチパスによる ) 通信障害 SSRMS による外乱実際の状態とは異なる不適切なフィードバック (FreeDrift 後の時間位置 ) フィードバック遅延 (FreeDrift 後の時間位置 ) 誤ったフィードバック (FreeDrift 後の時間位置 ) 実際の状態とは異なる不適切なフィードバック (Flight Mode) フィードバック遅延 (Flight Mode) 誤ったフィードバック (Flight Mode) 地上システムからの誤った情報これらの原因に対して安全解析書に記述された安全制御を識別する 19

20 安全解析書上の安全制御の識別赤字 : 安全解析書上は識別されなかった原因 ISS 機器故障クルーによるミスオペ ( アクティベーションコマンドをうたない ) ISS クループロセスモデルの矛盾アクティベーションの非実施 / 不適切アクティベーションの遅延 HTV 機器故障 ( マルチパスによる ) 通信障害 SSRMS による外乱実際の状態とは異なる不適切なフィードバック (FreeDrift 後の時間位置 ) フィードバック遅延 (FreeDrift 後の時間位置 ) 誤ったフィードバック (FreeDrift 後の時間位置 ) 実際の状態とは異なる不適切なフィードバック (Flight Mode) フィードバック遅延 (Flight Mode) 誤ったフィードバック (Flight Mode) 地上システムからの誤った情報 20

21 潜在原因 (Causal Factor) の例 ISS クルーの制御プロセスモデルの矛盾 HTV は無制御状態だが HTV が制御状態だと ISS クルーが誤認しクルーは HTV 制御開始のコマンドを送信しないこのままの状況が続き HTV は安全が確保されたキャプチャ可能範囲から徐々に外れ ISS に衝突する 21

22 実際の HTV 設計運用による安全対策安全解析書には STPAで識別した原因の内いくつかが識別されていないが実際のHTV 設計にはこれら原因に対する安全対策があることを確認している例 ) Causal factors: ISSクループロセスモデルの矛盾不適切なフィードバック ( 時間位置 Flight Mode) ISS クループロセスモデルの矛盾クルーは HTV から送られてくるテレメトリの中の Flight Mode が Free Drift から Retreat Hold 及び Abort になったことにより HTV が無制御状態から制御状態へ変化したことを認識することがルール化されている不適切なフィードバック ( 時間位置 Flight Mode) INCORRECT: パリティエラーパケットフォーマットエラー Integrity CheckやValidity Check ( 安全要求への合致 ) MISSING: 通信断 ISSとHTV 間のハートビート信号の状態を監視通信断の場合は系切替クルーへ警告 22

23 STPA の有効性として確認できたこと STPA で識別した潜在原因のほとんどが HTV 設計運用によって対処されていたが安全解析書では識別されていない原因もあったハザード原因の STPA 特有の識別が可能であるシステム間 (ISS-HTV 間 ) で認識している状態の矛盾による要因システム間 (ISS-HTV 間 ) の情報伝達の異常 (INCORRECT/MISSING) による要因設計する上での安全制約 ( 安全制御安全対策 ) が識別できるコンポーネント故障を識別するだけではなく設計する上での留意点 ( 安全制約 ) を識別できる 23

24 今後の取り組み Safety Driven Design ツールとしての有効活用階層的な安全設計手法の検討ハイレベルの安全設計の結果から下位レベルの設計を具体化していく方法を検討し設計開発のライフサイクルに対応する Double Controller への対応 2 つ以上のコントローラから制御される場合のハザード原因の識別方法を検討する例 : HTV が ISS クルーからも地上運用要員からもコマンドを受けて制御が行われる場合運用や組織の観点まで取り込んだプロジェクト全体に潜む欠陥を識別する手法としての有効性確認 24

25 Questions! 25

26 Back up 26

27 Control Structure Diagram Example 出展 : Nancy Leveson 著 Engineering a Safer World 27 6

28 表. ハザードシナリオにつながる不適切な制御アクションの識別 28

安全解析法 STAMP/STPA の概要と事例紹介平成 26 年 1 21 有宇宙システム株式会社 Japan Manned Space Systems Corporation (JAMSS) 安全開発保証部ソフトウェアグループ星野伸

安全解析法 STAMP/STPA の概要と事例紹介平成 26 年 1 21 有宇宙システム株式会社 Japan Manned Space Systems Corporation (JAMSS) 安全開発保証部ソフトウェアグループ星野伸安全解析法 STAMP/STPA の概要と事例紹介平成 26 年 1 21 有宇宙システム株式会社 Japan Manned Space Systems Corporation (JAMSS) 安全開発保証部ソフトウェアグループ星野伸 (hoshino.nobuyuki@jamss.co.jp) Contents 1. 会社紹介 (10 分 ) 2. STAMP/STPA の概要 (20 分