概要 STAMP(Systems-Theoretic Accident Model and Processes)は新しいアクシデントモデルであり STAMPベースの分析手法としてハザード分析手法STPA(System Theoretic Process Analysis)とアクシデント分析手

Size: px

Start display at page:

Download "概要 STAMP(Systems-Theoretic Accident Model and Processes)は新しいアクシデントモデルであり STAMPベースの分析手法としてハザード分析手法STPA(System Theoretic Process Analysis)とアクシデント分析手"

えのかつもと
5 years ago
Views:

1 STAMPベースハザード分析支援ツールの概説とi-STAMP紹介 ET2017 仙台高等専門学校岡本圭史

2 概要 STAMP(Systems-Theoretic Accident Model and Processes)は新しいアクシデントモデルであり STAMPベースの分析手法としてハザード分析手法STPA(System Theoretic Process Analysis)とアクシデント分析手法CAST (Causal Analysis based on STAMP)がある STPAはシステマチックなハザード分析手法であるしかし STPA は単純であるが手間のかかる作業を含むためツールによるSTPA 支援は必要である例えば図表の解釈やデータ連携を人間が適切に補うことで汎用的な図表作成ツールを用いてSTPAを実施できるしかし専用ツールを用いて図表解釈やデータ連携を支援することで分析者は本質的な分析により専念できる他方別の切り口のSTPA支援として STPAの形式化やモデル検査法との連携についても研究されている本発表では既存のSTAMPベースハザード分析支援ツールを概説し IPAで開発中のSTAMP支援ツールi-STAMP 開発コードを紹介する 2

3 目次はじめに STAMP/STPAの概説 STAMP/STPA支援ツール既存ツール XSTAMPP SafetyHAT STAMP/STPA支援ツール i-stamp(仮) まとめ 3

4 背景 STAMP/STPA導入の課題 STAMP/STPA導入における課題 STAMP/STPAプロセスのガイドはじめてのSTAMP/STPA入門編他分析成果物の記述修正に手間がかかる後述本来の分析に対する思考集中が妨げられる STAMP/STPA支援ツールツール活用における課題既存STAMPツールは大学等による開発段階ツール連携流用可能なMBD支援ツールは一般に高価 MBD Model Base Development モデルベース開発 4

5 STAMP/STPAの概説 STAMP/STPA手順確認はじめてのSTAMP/STPA入門編を基に概説 STPAの各Stepの出力のデータ形式を紹介 [IPA2016] はじめてのSTAMP/STPA入門編 [Leveson,Thomas2013] A STPA Primer STPAの各Stepで気付いた点課題等標準的なデータ形式の課題描画ツール表作成ツールによる記述の課題 5

6 Step0-1 アクシデントハザード安全制約の識別表手順 Step0 準備1アクシデントハザード安全制約の識別 [IPA2016] 6

7 例 Step0-1 A/H/SCの一覧表の出力番号付けは参照時に便利表実施例 Step0 アクシデントハザード安全制約の識別 [IPA2016] 関係は一般に多対多項目に重複が発生 (修正漏れの可能性) pp.47 [LevesonThomas2013] 7

8 Step0-2 コントロールストラクチャーの構築表形式もある(SafetyHAT) 出典 [I]pp.17,表手順 Step0 準備2 コントロールストラクチャーの構築 8

9 例 Step0-2出力 PM付CSD プロセスモデル CA出力に必要な変数とその値の組例ドア位置全開例列車位置フォーム停車中責務コンポーネントに対する高抽象度の要求プロセスモデルは Step1で利用したい CAは次Stepの出力と連携している各コンポーネントは意味(センサ等)を持つ Figure Simple Safety Control Loop for a Train Door Controller [LevesonThomas2013] 9

10 例 Step0-2出力 CSD(詳細化) コントロールストラクチャーは大変複雑なので抽象化したり一部を詳細化することはコントロールを理解するのに役立つ Figure2.3. The high-level control structure for the docking operation of the HTV with the International Space Station ISS) [LevesonThomas2013] 対応関係は人手で付ける Figure 2.5. A more detailed view of the ISS control structure for HTV docking. [LevesonThomas2013] 10

11 Step1 非安全制御動作の抽出表手順 Step1 UCAの抽出 [IPA2016] 11

12 例 Step1出力 UCA一覧表 Step0-1 CS図内のCAを列挙縦制御行動横ガイドワード(タイプ) STPAで定義済番号を付与 UCAに番号を付与すると参照が容易ハザードへ至る条件 (+ハザード, 安全制約) 表実施例 Step1 UCAの抽出 [IPA2016] 12

13 Step2 誘発要因の特定 4.5. Step2 HCF (Hazard Causal Factor)の特定 [IPA2016] ①にはリストを ②にはアノテーション付きCLDを使うこともある 13

14 例 Step2出力CF一覧表とシナリオ表実施例 Step2 HCF の特定 [IPA2016] 横ガイドワードシナリオハザード要因対応関係は人手で付ける縦 UCA Step1 UCA表の UCAを列挙実施例 UCA1 に至るハザードシナリオ [IPA2016] 14

15 例 Step2出力注釈付きCLD コントローラーが人間の場合等に原因の例を切り替えられると便利 (SafetyHATは対応している) シナリオ扉コントローラはドア開命令を出したがドアが開かない (1)コントロールの入力か外部情報が欠けているか間違っている指示ドア開ドア開停ドア閉ドア閉停止命令ドア開ドア開停止ドア閉ドア閉停止 (8)不適切有効でない欠けたコントロールアクションステータス扉は開いている扉は閉じている扉コントローラ他の入力列車の動き(走行中停止中) 列車の位置駅駅間緊急指標火災検知ガス検知 (1)コントロールの入力か外部情報が欠けているか間違っているコントロールプロセスモデルアルゴリズム (3)矛盾不完全 (2)生成の欠陥プロ不正確セスの変更不正確 CF 火災でアクチュエータな修正や適応が動作不能扉アクチュエータ機械的力 CF:扉を閉じる際に障害物を挟み扉が動かない (4)コンポーネント故障経時変化 (10)識別されないか範囲外の外乱 (5)不適切か欠けているフィードバックフィードバックの遅れフィードバック扉の位置扉センサ扉 (7)遅れたアクション図コントロールループで安全制約を破られる原因の例 [IPA2016] 機械的位置 (6)情報が与えられないか間違っている測定が不正確フィードバックの遅れ UCA 緊急時にもかかわらず扉コントローラがドア開命令を与えない[H-3] Identifying how safe control actions may not be followed or executed [Thomas2013]に追記 15

16 既存のSTAMP/STPA支援ツール XSTAMPP 多彩な拡張機能(モデル検査連携等) SafetyHAT DB連携ガイドワード編集 The Volpe STPA Tool an STPA tool 拡張STPAをサポート Tool assisted Hazard Analysis and Requirement Generation based on STPA An STPA Tool SAHRA Enterprise Architect拡張 [Krauss2015] Tool qualification considerations for tools supporting STPA [MIT] MIT Partnership for a Systems Approach to Safety (PSAS) web pages 16

17 詳細は後述 i-stamp(仮)の特徴 i-stamp(仮) IPA/SECで開発中のSTAMPベースハザード分析支援ツール特徴分析思考を妨げない分析結果間のトレーサビリティを確保 Step1, 2 分析結果の表中の項目を自動的に採番 Step2で使用するCLDのひな型を自動作成特徴分析過程をガイド Step0-2で記述したCAをStep1のUCA表に自動追加 Step1で記述したUCAをStep2のHCF表に自動追加必要情報を表形式で整理して CSD(Step0-2)を生成特徴分析思考を強化 Step1,2のガイドワードを編集可能特徴他ツールとの連携 CSV形式で分析結果を出力可能 17

18 設計ツールの流用 AADL 専用ツール以外のツール(言語記述法)の検討汎用ツールの利用ドローイングツールコントロールストラクチャー図の記述表計算ツールハザード一覧表 UCA表他設計ツール(言語記法)の流用本来の使い方とは異なる使い方ことも詳細設計のみ機能CSDを記述できない [Procter2014] An Architecturally-Integrated, SystemsBased Hazard Analysis for Medical Applications STPAの結果付きAADLモデルから分析報告書を自動作成 18

19 AADLとは Architecture Analysis and Design Language (AADL) アーキテクチャ分析設計用言語(テキスト形式図式) コンポーネントベース主たる記述対象組込みシステム(HW/SW) コンポーネント Abstract 3.5 Developing a Conceptual Model [Feiler2012] Error Model Annex (EMV2) AADLモデルにエラー情報を付加するための拡張 Error type 類型化されたエラーの階層構造 Error flows コンポーネント間(内)のエラー伝搬 Error behavior エラー状態の遷移 Properties ハザードの情報等 19

20 AADLによるSTAMP/STPA要素の記述制御アルゴリズムセットポイント AADL Connection AADL Process STAMP/STPA (Step2-1タイプ) コントローラー AADL Device アクチュエーターセンサー制御変数プロセス入力被コントロールプロセス外乱測定変数プロセス出力 AADL Abstract Error Model Annex (エラータイプ) 分析対象固有エラータイプ (拡張として定義) 与えられないとハザード ServiceOmission, 与えられるとハザード ServiceComission, ServiceComission等の拡張エラータイプとして定義早すぎ遅すぎ EarlyDelivery, 誤順序でハザード早すぎる停止長すぎる適用でハザード ServiceOmission等の拡張エラータイプとして定義 EarlyDelivery等の拡張エラータイプとして定義 EarlyServiceTermina EarlyServiceTermination 等の拡張エラータイ tion, プとして定義 [2] Procter, S. and Hatcliff, J. An Architecturally-Integrated, Systems-Based Hazard Analysis for Medical Applications, Formal Methods and Models for Codesign (MEMOCODE),

21 XSTAMPP extensible STAMP Platform 以下のプラグインを含む A-STPA:A-STPA のスタンドアロン版の後継 A-CAST:CAST 用 XSTPA: トーマス博士の拡張 STPA 用 STPASec:STPA for Security 用 STPAPriv:STPA for Privacy 用 STPA Verifier: モデル検査と STPA の連携 STPA Safety-based Test Cases Generator [Abdulkhaleq] XSTAMPP 2.0: New Improvements to XSTAMPP Including CAST Accident Analysis and an Extended Approach to STPA [Abdulkhaleq2015] A comprehensive safety engineering approach for software intensive systems based on STPA 21

22 Step0-2出力 CSD (XSTAMPP) CSDの構成要素を提供プロセスモデル Step0-2のCSD作成でCAを記述すると step1のcontrol Actionsに自動的に追記されるサブコンポーネントのようなものは記述できないプロセスモデルの構成要素を提供 22

23 拡張Step1 (XSTAMPP) Context Table プロセスモデル左の条件下でハザードへ至るか条件 (プロセス変数,プロセス値)の組 Refined Unsafe Control Actions 23

24 SafetyHAT A Transportation System Safety Hazard Analysis Tool データベース (Microsoft Access) と連携エクセル形式で分析結果を出力可能トランスポーテーションシステムに特化したタイプ (step1) と causal factor のヒント (step2) を提供コンポーネントタイプやガイドワードをカスタマイズ可能図形式で CSD が記述できない ( 図とのリンク可能 ) [Hommes2014] The Volpe STPA Tool, 2014 STAMP Workshop 24

25 Step0準備2 (SafetyHAT) 新規コンポーネントテキスト入力図形式ではなく表形式で入力接続元コンポーネント入力済コンポーネント接続終端コンポーネントコンポーネント入力入力済接続名称 Step1で入力したコンポーネントから選択型コントロールストラクチャー構成要素から選択コンポーネント間接続入力 25

26 Step1 UCAの抽出 (SafetyHAT) コントローラーとコントロールアクションの選択 Step1タイプ一覧から選択一覧から選択 UCAの詳細ドメイン特化したタイプが充実入力済UCA UCAに関係するハザードテキスト入力または一覧から選択一覧から選択 26

27 Step2 誘発要因の特定(SafetyHAT) コントローラーと非安全なコントロールアクション一覧から選択非安全なコントロールの原因一覧から選択入力済非安全なコントロールの原因ドメイン特化した causal factorが充実テキスト入力 UCA コンポーネント接続 CF 27

i-stampの全体像利用者が自社向けにツール強化またはツールベンダーが強化して提供 STAMP図テンプレート追加

他手法手順の追加 (CAST,STPA-Sec等) ツール利用者が開発して社内利用ツールベンダーが機能強化して提供１

連携I/F STPA基本手順支援２既存モデルベース開発支援ツールのプラットフォームバイナリー公開ファイル管理機能

28 i-stampの全体像利用者が自社向けにツール強化またはツールベンダーが強化して提供 STAMP図テンプレート追加 STAMP表拡張自社ツール形式データ出力自社ツール連携 STPA手順カスタマイズトレーサビリティ機能追加等他手法手順の追加 (CAST,STPA-Sec等) ツール利用者が開発して社内利用ツールベンダーが機能強化して提供１本ツール開発範囲ソースコードおよびバイナリー公開 STAMP図生成 STAMP表生成汎用形式データ出力外部ツール連携I/F STPA基本手順支援２既存モデルベース開発支援ツールのプラットフォームバイナリー公開ファイル管理機能モデル描画基本機能モデル編集基本機能 GUI 基本機能 API 基本機能 IPA提供ツール開発受注者提供 28

29 課題修正反映の手間 (詳細) Step 0 準備1 Accident Hazard 安全制約の識別 Step0-1 Step 0 準備2 Control Structureの構築 Step0-2 Step0-1 安全制約追加 CS変更 Step 1 UCA Unsafe Control Action の抽出 Step1 Step0-2 Step0-2 Step1 Step1 Step1 UCA追加 Step 2 HCF Hazard Causal factor の特定対策検討安全要求追加 STPA手順 Step2 Step2 Step2 対策検討対策検討解析の過程で不足や誤りに気付いたら立ち戻って解析し直す後段に進むことで新たな気付きが得られる 29

30 i-stampイメージ Step0 図形描画は自動化表記を自動的に統一 IPA推奨表記を提供 (既存STAMP支援ツール同様) CS図描画機能も提供ワークシートを用いて整理登場人物１設計部門２施工部門役割安全関連責任指令部門の了解のもと設計部門の指示内容に従って補修工事結果確認を含むを安全に実施するアクシデント(Loss) 要求仕様 2-1 施工管理者 2-2 見張り員ハザード Hazard ３作業員コンポーネント機能人クーラーのコントローラーこの行は記入例指令部門責務利用者室温を設定温度にする輸送指令処理室温が設定温度より高ければ冷やす室温が設定温度より低ければ冷やすのを止める必要な商品の個数と配達先住所商品一覧から購入希望商品種類と数を選択し運転士 c3. 出荷機能に対して商品の出荷を指示する to 出力増加指示処理の種別 CA FB 外部入力外部出力内部動作アルゴリズム処理の実行条件コンプレッサーに対する CA 室温設定温度外部入力必要数在庫数外部出力他の処理とは非同期に定期的に実行する制約条件は無し関係するプロセスモデル制御される側の状態室外機の運転状態在庫情報を参照し引当可能在庫がある商品の情報を公開する注文要求を参照し要求された商品名と個数について引き当てを指示する CA 制約条件は無し内部動作商品の引当てができた引当て可否を参照し引当に成功したら受注内容の情報を受注リストに追加する外部出力商品の引当てができた引当て可否を参照し引当に成功したら受注した内容を利用者に伝える CA2. 出荷指示受注ID CA 商品の引当てができた引当て可否を参照し引当に成功したら出荷機能に対して受注IDを示し出荷作業着手を指示する PO3. 在庫なし通知外部出力商品の引当ができなかった引当て可否を参照し利用者に対して受注不可能であることとを伝える受注リスト出荷完了内部動作制約条件は無し出荷進捗状態出荷機能 CA3. 即時出荷指示受注ID CA 出荷遅延対応要求受注ID 利用者 PO4. 配送遅延通知外部出力出荷完了報告受注ID f1. 所定時間内の配達ができない見込みとなった場合に注文主である利用者に通知する出荷機能出荷完了報告を参照し報告された受注IDのステータスを出荷完了として受注リストを更新する受注リストに対して定期的に以下の条件を検査し条受注リストの出荷進捗状態を参照件が成立する受注が存在する場合に実行するし左記の実行条件が成立したら受コース種別優先 & 受注確定からの経過時間注IDとともに即時出荷を指示する > Y-Z-α & 出荷進捗状態未完了出荷遅延対応要求を参照し該当する注文の利用者に対して指定され制約条件は無した所定時間内に配達できないことを伝える出荷指示を参照し指示された受注制約条件は無し IDを作業リストに登録する作業リストを参照しリストが空でなければ先頭の受注IDを取り出し受注リストを参照して該当する商品を作業リストが空ではない & 作業可能な状態である他ピックアップする該当する商品の在の出荷作業中ではない庫がない場合は作業リストの次の受注IDを取り出して該当商品をピックアップする (A2)緊急車両消防車救 (H2-1)工事中緊急車両が来 SC2-1 工事中でも緊急車両運転士の指示に従って走行あるいは停止するても踏切が遮断している急車が踏切を渡れず手が来たら踏切を開放しなければ遅れになるならない g1. 出荷指示を受けると作業リスト FIFOリストの最後販売管理機出荷指示に追加する能受注ID g2. 作業リストの先頭の受注を取り出し受注リストの情作業リスト報を参照して商品をピックアップする受注リスト情報と共に配送業者に出荷する g3. 商品を梱包し配送業者に配送を指示する作業リスト受注ID コース種別商無し品名個数配達先住所無し無し g4. 販売管理機能に対して出荷完了を通知する無し無し g5. 在庫情報管理機能に対して在庫データの更新を指示する無し無し (A3)通行者車と工事関係 (H3-1)工事中踏切が遮断し者車が衝突するていない出荷機能 g6. 販売管理機能から即時出荷指示を受けると行っていた出荷作業を中断し指示された受注IDの商品の梱包と配送業者への出荷を直ちに行う h. 所定時間内の配達可否を判断し遅延が見込まれる場合は販売管理機能に報告する h1. 所定時間内の配達ができない見込みとなった場合に販売管理機能に利用者への通知を依頼する販売管理機即時出荷指示能受注ID 無し無し i1. 注文された商品の在庫があれば引き当て済みとし販売管理機商品引当要求て在庫データを更新し二重注文を受けないように管理す i. 受注した商品の引き当てを行い能商品名個数る重複受注を防ぐ i2. 引き当ての可否を通知する在庫情報管理機能 j1. 商品の出荷時に在庫データを更新する j. 商品の在庫数を正しく把握し在庫切れの商品を受注することを防ぐ j2. 商品の入荷時に在庫データを更新する販売管理機商品引当要求能商品名個数在庫データ更新要求出荷機能出荷済み商品名個数メーカ商品入荷情報商品名個数配送業者受注ID 内部動作無し内部動作 CA4. 配送指示梱包済み商品配達先 CA 住所販売管理機 FB2. 出荷完了報告 FB 能受注ID CA5. 在庫データ更新要在庫情報管求 CA 理機能出庫商品名個数 CA4. 配送指示配送業者梱包済み商品配達先 CA 住所商品のピックアップが完了する梱包済み商品と配達先住所の情報を配送業者に渡し配送を指示する配送業者への配送指示が完了する出荷作業が完了した受注IDを伝える配送業者への配送指示が完了する出荷が完了した商品名と個数を伝え在庫データの更新を指示する (SC3-1)工事中は踏切を遮断していなければならない販売管理機 CA6. 出荷遅延対応要求 CA 能受注ID 在庫データ引当て済みの商品名個数内部動作販売管理機 FB1. 引当て可否能 FB 在庫データ実在庫数内部動作在庫データ実在庫数内部動作即時出荷指示を参照し指示された受注IDの商品の梱包と配送業者への出荷を直ちに行う作業リストの先頭の受注が以下の条件を満たす場合作業リストの先頭の受注を取り出す度通常コース & 受注確定からの経過時間 X-Z) ) に左記の実行条件が成立したら実または行する優先コース & 受注確定からの経過時間 (Y-Z) 商品引当要求を参照し指示された商品の在庫があれば引当て済み引当て要求を受けた商品の在庫がある在庫 Allocated に割り当て引当て可能在庫数 Available をその分減じて在庫データを更新する商品引当要求を参照し指示された制約条件は無し商品の引当て可否を通知する在庫データ更新要求を参照し示さ制約条件は無しれた商品に対して在庫データの実在庫数 On Hand を更新する商品入荷情報を参照し示された商制約条件は無し品に対して在庫データの実在庫数 On Hand を更新する制約条件は無しワークシート IPAが推奨する詳細手順を誘導し分析を支援するロジックリモコンからの指示を受けたとき室外機の状態が運転可ならば出力変更する必要数と在庫数を比較して注文要否を在庫状況判断する利用者出荷機能管理し必要に応じて出荷順の入 e2. 優先コースの受注について受注確定から Y-Z-α れ替えを指示する時間経過しかつ出荷が未完了の場合に出荷機能に受注リスト対して即時に出荷するよう指示を出す g. 販売管理機能から指示された順に商品を梱包し配達先の住所の Step0入力自然言語で記述された仕様書 output 情報指示指示に伴う情報コンプレッサー出荷機能在庫情報管引当て可否理機能 d. 商品の在庫不足により注文を受 d1. 在庫情報管理機能から商品引当できなかったことの在庫情報管けられない場合は利用者にその引当て可否通知を受け利用者に対して受注できない旨を通知する理機能旨を通知する知する列車設定温度室温工事終了報告を受けると当該工事区間の列車の運行を再開する (A1)工事作業者車両機 (H1-3)工事中に列車が踏切 SC1-3)工事中に列車が踏切工事計画工事許可申請に従って当該工事区間の列車の運転士に運行を停止させる材が列車と衝突する制御区間に進入した時に見張制御区間に進入してしまった時工事終了報告を受けると当該工事区間の列車の運転士に運行を再開させるり員の指示に従って停止しなは見張り員の指示に従わなけ輸送指令からの指示に従って担当列車を停止あるいは走行させるいればならない工事区間では見張り員の指示に従って列車を停止あるいは走行させる f. 所定時間内の配達ができない見込みとなった場合は利用者に通 3-2 input 情報指示指示に伴う情報 (A1)工事作業者車両機 (H1-2)工事中に列車が踏切 (SC1-2)工事中に列車進入した踏切の補修工事を実施列車進入時見張り員の指示に従って速やかに待避待避完材が列車と衝突する制御区間に進入した時に工事ときは工事を中断待避させな了後見張り員に待避完了確認を返すが中断待避されないければならない工事計画工事許可申請に従って当該工事区間の列車の運行を停止する e. 受注した商品が所定時間内に配 e1. 出荷作業のステータスを更新する達されるように出荷作業の進捗を 3-2 from リモコンセンサー販売管理機販売管理機 PI1. 注文要求商品一覧情報コース種別商品名個を正しく指定し注文を行うて注文を伝える能能数配達先住所 a. 販売可能な商品と在庫数の正し a1. 最新の在庫情報を確認して販売可能な商品を利用者在庫データ在庫情報利用者 PO1. 商品一覧情報い情報を利用者に公開するに公開する注文要求 b. 利用者からの注文を受けると商在庫情報管 CA1. 商品引当て要求 b1. 在庫情報管理機能に対して商品の引当を指示する利用者コース種別商品名個品の在庫を確認し引き当てを行う理機能商品名個数数配達先住所受注内容 c1. 在庫情報管理機能から商品引当ができたことの通在庫情報管受注ID コース種別商引当て可否受注リスト知を受けると受注IDを発行して受注リストに追加する理機能品名個数配達先住所 c. 商品の引き当てを確認した上 PO2. 受注通知で受注確定を利用者に通知し出 c2. 商品引当に成功したら利用者に受注確定を通知す在庫情報管受注ID コース種別商引当て可否利用者荷機能に出荷を指示するる理機能品名個数配達先住所販売管理機能 3-1 安全制約 Safety 万が一の列車進入に備えて見張り員を配置し見張り開始終了を指示する Constraints 作業員に工事開始終了を指示する (A1)工事作業者車両機 (H1-1)工事中に列車が踏切 SC1-1)工事中列車を踏切制工事中列車進入の有無を監視し発見時に作業員に待避指示し作業員からの待避完材が列車と衝突する制御区間に進入する御区間に進入させてはならない了確認を待つ待避完了を受け取ると列車を通過させ確認がない場合列車を停止させる 2-3 備考工事対象の踏切の制御論理論理を実装する方法を設計し施工部門に工事を指示する Step0出力 CS図ワークシートから CS図を自動生成要求仕様を整理する表アクシデントハザード安全制約を整理する表安全を維持するための制御を抽出するための表 30

31 i-stampイメージ Step0出力コントロールストラクチャー図踏切制御装置アクシデントハザード安全制約の一覧表 31

32 i-stampイメージ Step1 ドメインに応じてガイドワードを編集選択可能ハザード安全制約の一覧表アクシデント(Loss) ハザード Hazard 安全制約 Safety Constraints (A1)工事作業者車両機材が列車と衝突する (H1-1)工事中に列車が踏切制御区間に進入する SC1-1)工事中列車を踏切制御区間に進入させてはならない (A1)工事作業者車両機材が列車と衝突する (H1-2)工事中に列車が踏切 (SC1-2)工事中に列車進入した制御区間に進入した時に工事ときは工事を中断待避させなが中断待避されないければならない (A1)工事作業者車両機材が列車と衝突する (H1-3)工事中に列車が踏切制御区間に進入した時に見張り員の指示に従って停止しない SC1-3)工事中に列車が踏切制御区間に進入してしまった時は見張り員の指示に従わなければならない (A2)緊急車両消防車救 (H2-1)工事中緊急車両が来 SC2-1 工事中でも緊急車両ても踏切が遮断している急車が踏切を渡れず手が来たら踏切を開放しなければ遅れになるならない (A3)通行者車と工事関係 (H3-1)工事中踏切が遮断し者車が衝突するていないガイドワードのセットを編集選択 UCA表に自動的に反映コントロールアクション１鳴動開始指示２鳴動停止指示３マスク開始指示４マスク解除指示 Not Providing Providing causes hazard Too early / Too late (SC3-1)工事中は踏切を遮断していなければならない Stop too soon / Applying too long ID振り直しも自動実行 UCAにIDを自動付加 SCとのリンクを設定コントロールアクション Not Providing Providing causes hazard Too early / Too late Stop too soon / Applying too long １鳴動開始指示 (UCA1)警報が鳴らずに列車が踏切を通過する踏切が閉まらない SC1 違反列車が来ないのに警報が鳴る (UCA2)警報鳴動する前に列車が踏切に到達する閉まるのが遅く間に合わない SC1)違反開始指示が継続するので列車通過後に鳴動停止指示が出ても鳴動し続ける２鳴動停止指示列車が通過後も警報が鳴りっぱなし (UCA3)列車が通過中に鳴動停止する SC2)違反 (UCA3)列車が通過完了する前に鳴動停止する閉めた後開くのが早すぎる SC2)違反 (UCA1)列車通過後も鳴動停止指示が続き次の列車が来ても鳴動しない開始指示と競合 SC1)違反３マスク開始指示 A,Cを通過した列車がB に到達した時に再鳴動する (UCA4)列車が来ないのにマスク指示し警報鳴動しない (UCA4)反対側の開始センサーにマスク指示し警報鳴動しない SC1)違反 (UCA5)終始センサーへのマスク指示が遅れ列車の当該センサー通過に間に合わないとマスク指示が残り対向列車が2本続いたときに警報鳴動しない SC1)違反 (UCA6)列車が反対側の開始センサー通過後までマスク指示し続けると対向列車が来ても鳴動しない SC1)違反４マスク解除指示 (UCA6)反対側の開始センサーにマスク解除指示が出ず対向列車が来ても鳴動しないマスク指示後に列車が引き返す場合を含む SC1)違反警報が再鳴動する列車がBを通過完了前に出ると再鳴動する解除を後続列車によるマスク開始指示と競合るとマスクされずに再鳴動する可能性がある Step1出力 UCA表 UCA表の固定部分を自動生成 UCA抽出に専念して UCA表を作成 CS図 Step1入力 32

33 i-stampイメージ Step1出力 UCA表 33

34 i-stampイメージ Step2 ヒントワードは選択可能( (人)対(機械) 等) Step2入力 ID振り直しも自動実行ハザード安全制約一覧表アクシデント(Loss) ハザード Hazard 安全制約 Safety Constraints (A1)工事作業者車両機材が列車と衝突する (H1-1)工事中に列車が踏切制御区間に進入する SC1-1)工事中列車を踏切制御区間に進入させてはならない (A1)工事作業者車両機材が列車と衝突する (H1-2)工事中に列車が踏切 (SC1-2)工事中に列車進入した制御区間に進入した時に工事ときは工事を中断待避させなが中断待避されないければならない (A1)工事作業者車両機材が列車と衝突する (H1-3)工事中に列車が踏切制御区間に進入した時に見張り員の指示に従って停止しないコントロールループ図を自動作成列車検知センサー SC1-3)工事中に列車が踏切制御区間に進入してしまった時は見張り員の指示に従わなければならない ④部品故障経年変化 ②不適切な制御アルゴリズム作成時の欠陥プロセス変更誤った修正適用 HCFにIDを自動付加 UCA SCとのリンクを設定コントローラー踏切 (A2)緊急車両消防車救 (H2-1)工事中緊急車両が来 SC2-1 工事中でも緊急車両ても踏切が遮断している急車が踏切を渡れず手が来たら踏切を開放しなければ遅れになるならない (A3)通行者車と工事関係 (H3-1)工事中踏切が遮断し者車が衝突するていない ①上位からの指示や外部情報の誤り欠落 (SC3-1)工事中は踏切を遮断していなければならない (UCA1)警報が鳴らずに列車が踏切を通過踏切が閉まらず CS図 ⑧ Control actionが不適切無効欠落 ⑪プロセス出力の誤りとりこの車人発光開始指示 ⑨制御行動の衝突プロセス入力の誤り欠落 ④プロセスへの入力の誤り欠落 ⑤意図しないまたは範囲外の外乱 (UCA2) 鳴動前に列車が踏切に到達閉まるのが遅い Not Providing Providing causes hazard Too early / Too late Stop too soon / Applying too long １鳴動開始指示 (UCA1)警報が鳴らずに列車が踏切を通過する踏切が閉まらない SC1 違反列車が来ないのに警報が鳴る (UCA2)警報鳴動する前に列車が踏切に到達する閉まるのが遅く間に合わない SC1)違反開始指示が継続するので列車通過後に鳴動停止指示が出ても鳴動し続ける２鳴動停止指示列車が通過後も警報が鳴りっぱなし (UCA3)列車が通過中に鳴動停止する SC2)違反 (UCA3)列車が通過完了する前に鳴動停止する閉めた後開くのが早すぎる SC2)違反 (UCA1)列車通過後も鳴動停止指示が続き次の列車が来ても鳴動しない開始指示と競合 SC1)違反３マスク開始指示 A,Cを通過した列車がB に到達した時に再鳴動する (UCA4)列車が来ないのにマスク指示し警報鳴動しない (UCA4)反対側の開始センサーにマスク指示し警報鳴動しない SC1)違反 (UCA5)終始センサーへのマスク指示が遅れ列車の当該センサー通過に間に合わないとマスク指示が残り対向列車が2本続いたときに警報鳴動しない SC1)違反 (UCA6)列車が反対側の開始センサー通過後までマスク指示し続けると対向列車が来ても鳴動しない SC1)違反４マスク解除指示 (UCA6)反対側の開始センサーにマスク解除指示が出ず対向列車が来ても鳴動しないマスク指示後に列車が引き返す場合を含む SC1)違反警報が再鳴動する列車がBを通過完了前に出ると再鳴動する解除を後続列車によるマスク開始指示と競合るとマスクされずに再鳴動する可能性がある踏切制御装置の状態管理が不適切誤った外部入力外乱でマスク解除漏れ制御装置の処理遅れでマスク解除漏れ踏切制御装置の状態管理が不適切超高速列車に対応できずにマスク解除の指示遅れレール上の物体による外乱制御装置の処理に問題がありマスク解除の指示遅れ状態制御誤りでマスク解除漏れ不正な外部入力によりマスク解除漏れ非定常運行への対策漏れでマスク解除漏れ ⑥不十分な制御アルゴリズム (UCA1)警報が鳴らずに列車が踏切を通過踏切が閉まらずコントロールアクション踏切制御装置の動作遅れ Step2出力 HCF表 ⑩意図しないまたは範囲外の外乱 ③動作の遅れ ⑥不十分な制御アルゴリズム列車がAを通過後踏切に到達する前に Cが外乱により短絡する (UCA5)マスク解除指示漏れで列車がきても鳴動せず (UCA6)マスク開始指示漏れ ⑤意図しないまたは範囲外の外乱センサーAが故障してAから踏切制御装置への通知が欠落警報機の動作遅れ (UCA4)不正なマスク開始指示が出て列車が来ても警報鳴動しない ②Control action が不適切無効欠落 ④プロセスへの入力の誤り欠落 (UCA3 列車が踏切を通過する前に鳴動停止開くのが早いコントロールプロセス検知装置 ①上位からの指示や外部情報の誤り欠落 ③動作の遅れ踏切通過後に引き返す列車向け制御が不適切鳴動停止継続により次の鳴動指示と競合 (UCA2) 鳴動前に列車が踏切に到達閉まるのが遅い検知開始指示 UCA表 ②Control action が不適切無効欠落 (UCA3 列車が踏切を通過する前に鳴動停止開くのが早い HCF特定に専念して HCF表を作成 (UCA4)不正なマスク開始指示が出て列車が来ても警報鳴動しない (UCA5)マスク解除指示漏れで列車がきても鳴動せず (UCA6)マスク開始指示漏れ HCF表の固定部分を自動生成 34

35 i-stampイメージ Step2出力コントロールループで安全制約を破られる原因コントロールループ図 HCF表 ID HCF CLDで安全制約を破られる原因シナリオ 35

36 i-stampイメージ対策検討 Step2入力ハザード安全制約一覧表アクシデント(Loss) ハザード Hazard 安全制約 Safety Constraints (A1)工事作業者車両機材が列車と衝突する (H1-1)工事中に列車が踏切制御区間に進入する SC1-1)工事中列車を踏切制御区間に進入させてはならない (A1)工事作業者車両機材が列車と衝突する (H1-2)工事中に列車が踏切 (SC1-2)工事中に列車進入した制御区間に進入した時に工事ときは工事を中断待避させなが中断待避されないければならない (A1)工事作業者車両機材が列車と衝突する (H1-3)工事中に列車が踏切制御区間に進入した時に見張り員の指示に従って停止しない検討に必要な関連情報を即座に表示 SC1-3)工事中に列車が踏切制御区間に進入してしまった時は見張り員の指示に従わなければならないリンクしたUCA HCF CS図を容易に参照可能 (A2)緊急車両消防車救 (H2-1)工事中緊急車両が来 SC2-1 工事中でも緊急車両ても踏切が遮断している急車が踏切を渡れず手が来たら踏切を開放しなければ遅れになるならない (A3)通行者車と工事関係 (H3-1)工事中踏切が遮断し者車が衝突するていない対策からの逆方向リンクも自動設定関連HCF UCA SCとのリンク設定を再構築 Step2出力 HCF表 (SC3-1)工事中は踏切を遮断していなければならない # 対策 CS図 1 3 関連 HCF UCA4 4-1 UCA 終始センサーが列車到達を検知したら開始センサーへマスク指示する UCA4 4-2 踏切制御装置列車到達を前提として再開始センサー度STPA分析要開始センサーからの信号が途絶えたら警報を鳴らす UCA1 1-1 踏切制御装置 Heartbeat Healthy信号等開始センサーによる監視機能が必要センサー検出順番の不正を検出したら警報鳴動し続ける UCA1 1-2 踏切制御装置 5 異常に短時間の短絡は異常と判断し警報鳴動し続ける UCA1 1-2 UCA3 3-1 踏切制御装置異常時間の判断基準要開始/終始センサー 6 異常に長時間の短絡は異常と判断しマスク解除し警報鳴動する UCA5 5-1 踏切制御装置異常時間の判断基準要開始/終始セ開始と停止の指示競合時ンサーの処理判断基準要 UCA6 6-5 踏切制御装置 UCA 列車運転士関連 HCF UCA4 4-1 UCA4 UCA1 4 UCA UCA1 1-2 UCA3 3-1 UCA5 5-1 UCA6 6-5 UCA UCA表関連 UCA 1 マスク解除は両方向の開始センサーに行なう関連 UCA UCA6 2 # 対策対策対象備考コンポーネント対策一覧の固定部分を自動生成コントロールアクション Not Providing Providing causes hazard Too early / Too late Stop too soon / Applying too long １鳴動開始指示 (UCA1)警報が鳴らずに列車が踏切を通過する踏切が閉まらない SC1 違反列車が来ないのに警報が鳴る (UCA2)警報鳴動する前に列車が踏切に到達する閉まるのが遅く間に合わない SC1)違反開始指示が継続するので列車通過後に鳴動停止指示が出ても鳴動し続ける２鳴動停止指示列車が通過後も警報が鳴りっぱなし (UCA3)列車が通過中に鳴動停止する SC2)違反 (UCA3)列車が通過完了する前に鳴動停止する閉めた後開くのが早すぎる SC2)違反 (UCA1)列車通過後も鳴動停止指示が続き次の列車が来ても鳴動しない開始指示と競合 SC1)違反３マスク開始指示 A,Cを通過した列車がB に到達した時に再鳴動する (UCA4)列車が来ないのにマスク指示し警報鳴動しない (UCA4)反対側の開始センサーにマスク指示し警報鳴動しない SC1)違反 (UCA5)終始センサーへのマスク指示が遅れ列車の当該センサー通過に間に合わないとマスク指示が残り対向列車が2本続いたときに警報鳴動しない SC1)違反 (UCA6)列車が反対側の開始センサー通過後までマスク指示し続けると対向列車が来ても鳴動しない SC1)違反４マスク解除指示 (UCA6)反対側の開始センサーにマスク解除指示が出ず対向列車が来ても鳴動しないマスク指示後に列車が引き返す場合を含む SC1)違反警報が再鳴動する列車がBを通過完了前に出ると再鳴動する解除を後続列車によるマスク開始指示と競合るとマスクされずに再鳴動する可能性がある 7 退行時には非常手続きが必要対策対象備考コンポーネント踏切制御装置開始センサー順番の正誤判断基準要外部コンポーネントも絡む対策立案に専念 36

UCA表 UCA表 UCA表 Step2 出力 CF表 CF表 CF表カスタマイズ性多くのプラグインコンポーネントタイプ Step2ガイドワード拡ガイドワードの追加定張に対応

37 まとめ STAMP/STPAの概説プロセス出力形式課題 STAMP/STPA支援ツール紹介 XSTAMPP SafetyHAT i-stamp XSTAMPP SafetyHAT i-stamp Step0準備1 出力リスト(関連付け有) リスト(関連付け有) リスト(関連付け有) Step0準備2 CSD 図リスト(図関連付け可) 図 Step1 出力 UCA表 UCA表 UCA表 Step2 出力 CF表 CF表 CF表カスタマイズ性多くのプラグインコンポーネントタイプ Step2ガイドワード拡ガイドワードの追加定張に対応義可能その他トーマス博士の拡張 Step1に対応(XSTPA) モデル検査連携 CAST,STPA-sec他対応データベース連携エクセル形式出力可 CSDの詳細化抽象化に対応 37

目次 1. 目的 2. STPA の手順 3. エアバッグの要求仕様 4. Step 0 準備 1:Accident Hazard 安全制約の識別 5. Step 0 準備 2:Control Structure の構築 6. Step 1:UCA(Unsafe Control Action) の抽

STAMP/STPA 演習 ~ エアバッグの安全性分析 ~ 2017 年 9 月 22 日独立行政法人情報処理推進機構 (IPA) 技術本部ソフトウェア高信頼化センター (SEC) 石井正悟目次 1. 目的 2. STPA の手順 3. エアバッグの要求仕様 4. Step 0 準備 1:Accident Hazard 安全制約の識別 5. Step 0 準備 2:Control Structure

概要 STAMP(Systems-Theoretic Accident Model and Processes)は新しいア クシデントモデルであり STAMPベースの分析手法として ハ ザード分析手法STPA(System Theoretic Process Analysis)とアクシデ ント分析手

概要 STAMP(Systems-Theoretic Accident Model and Processes)は新しいアクシデントモデルであり STAMPベースの分析手法としてハザード分析手法STPA(System Theoretic Process Analysis)とアクシデント分析手