システムの安全性を記述するためのモデリング言語「SafeML」

Size: px

Start display at page:

Download "システムの安全性を記述するためのモデリング言語「SafeML」"

たけなりたかはし
7 years ago
Views:

1 SysML を拡張した SafeML でシステムの安全性をモデル化設計しよう Geoffrey Biggs 産業技術総合研究所知能システム研究部門ディペンダブルシステム研究グループ

2 この発表の目的安全情報をモデル化することの利点を理解する SafeML を用いた安全情報管理方法とコミュニケーションを支援する方法 SafeML を用いた安全分析安全設計のモデル化方法 SafeML の使用を支援するツールのポテンシャルについて

3 概要安全なシステムとはハザード分析機能安全等のコンセプト SafeML SafeML のコンセプトとモデリング言語の要素 SafeML 適応の例例により SafeML の使い方を学ぶツール SafeML モデルを処理するツールについての議論

4 Part 1 Safe systems ( 安全なシステム )

5 概要安全のコンセプト Hazard( 危険 ) Harm( 危害 ) Context( 危険状況危険事象 ) 安全分析手法 FTA FMEA 等安全対策 Intrinsic safety Functional safety( 機能安全 )

6 Hazards, harms and contexts 危険 : 危害の潜在源 Hazard: Potential source of harm IEC より

7 Hazards, harms and contexts 危害 : 財産又は環境の損傷の結果直接的又は間接的に与えられる人の健康に対する肉体的傷害又は損傷 Harm: Physical injury or damage to the health of people or damage to property or the environment IEC より

8 Hazards, harms and contexts コンテキスト : 人財産又は環境が危険にさらされる状況 Context: Circumstances in which people, property or the environment are exposed to one or more hazards IEC より

9 コンテキストが重要危険は常に存在するしかし特定のコンテキストがないと危害は出られないすなわちハザードは特定のコンテキストで特定の危害を及ぼす Hazard Context Harm

10 危険と危害とコンテキストを探す手法ハザード分析はシステムにある危険などを発見する要求設計等を分析する深刻さ (severity) や確率等の解析複数の手法 Fault Tree Analysis (FTA) Failure Mode and Effects Analysis (FMEA) Event Trees

11 Fault Tree Analysis( 例 ) 望ましくない事件の原因を見つけるための分析手法

12 Fault Tree Analysis( 例 ) (IEC より )

13 危害への対策どうやって危害が発生しないようにするかシステムの設計を変更することによって危険が存在しないことコンテキストが現れないことコンテキストがあっても危害が発生しない又は深刻さが減ること

14 危害への対策どうやって危害が発生しないようにするか Intrinsic safety システムの設計を変更することによって危険が存在しないことコンテキストが現れないことコンテキストがあっても危害が発生しない又は深刻さが減ること Functional safety

15 Intrinsic Safety システムから危険を消すシステムの特性クラッシャブルゾーンシートベルト "Toyota Camry after frontal impact with tree" by Stillwaterising - Own work. Licensed under Creative Commons Attribution-Share Alike 3.0 via Wikimedia Commons - e.jpg#mediaviewer/file:toyota_camry_after_frontal_impact_with_tree.jpg

Functional Safety( 機能安全 ) システムの機能 : 通常の作動中の安全性を保存する機能故障等の場合安全性を提供する機能エアバッグアンチロックブレーキシステム Suzuki

Licensed under Creative Commons Attribution-Share Alike 3.0 via Wikimedia Commons - https://commons.

JPG "Ferrari F430 Challenge Brake" by The359 - Own work. wikimedia.

16 Functional Safety( 機能安全 ) システムの機能 : 通常の作動中の安全性を保存する機能故障等の場合安全性を提供する機能エアバッグアンチロックブレーキシステム Suzuki alto body2 - AIMS by Pineapple fez - Own work. Licensed under Creative Commons Attribution-Share Alike 3.0 via Wikimedia Commons - _AIMS.JPG#mediaviewer/Datei:Suzuki_alto_body2_-_AIMS.JPG "Ferrari F430 Challenge Brake" by The359 - Own work. Licensed under Creative Commons Attribution-Share Alike 3.0 via Wikimedia Commons - PG#mediaviewer/File:Ferrari_F430_Challenge_Brake.JPG

17 Part 2 SafeML

18 背景開発中の情報交換なぜ問題なのかモデリング言語により情報交換の改善モデルベース情報交換の利点

19 情報の流れる場所が多い開発プロセス

20 高信頼システム開発コミュニケーションギャップが問題要求エンジニアとソフトウェアエンジニア安全エンジニアとシステムエンジニアコミュニケーション不足はシステムの様々な欠陥の原因?

21 欠陥対策が必須直す防ぐ対策が遅れれば遅れるほどコストが上がるコスト早い開発時期遅いコストが低く時期が早い段階で防ぐことが理想

22 コミュニケーション改善で欠陥防止情報交換をより正確にすると各開発者の理解が上がる間違いが減る開発プロセスの早い段階で欠陥を防げる

23 コミュニケーション改善による欠陥の防止モデリング言語の適用でコミュニケーションが改善可能と証明された安全用のモデル言語で高信頼システムの安全情報を交換するより正確に安全情報を交換することで欠陥を防ぐ

24 モデルベース情報交換の利点トレーサビリティの改良コンピュータは情報の構造が分かる文書で保存された情報 (Word 等 ) なら難しい内容も関連も追跡できる

25 モデルベース情報交換の利点自動情報処理コンピュータは構造がある情報が処理できる報告の自動生成必要性により違う見方が可能設計レビューギャップ探し認証

26 モデル言語による安全情報の交換

27 モデル言語による安全情報の交換この部分は今まではできていなかった

28 SafeML 安全に関するシステムの情報を記述するためのモデリング言語システムのハザード安全要求安全フィーチャー ( 機能安全など ) SysML のプロファイル

29 SafeML 開発チーム内のコミュニケーションの道具安全規格と安全分析手法に基づく安全分析の結果と安全機能をモデル化する

30 どのような機能か SysML へ新しい要素と関連 ( stereotypes ) の追加 SysML モデルにこれで要素で安全情報の表現関連で安全情報とシステム設計要求等の関係の表現

31 SafeML を使った開発の流れ

32 SafeML が使えるところ危険から安全機能経由検証までの追跡設計の時に考慮すべき危険の示すこと安全エンジニアからシステムエンジニアへ設計に含まれている安全機能の示すことシステムエンジニアから安全エンジニアと認証組織へ

33 SafeML の要素と関連

34 SafeML のコンセプト : Hazard Hazard= 危険システムにある危害の潜在源システムは関連する危害を引き起こす可能性が常にあるシステムのコンポーネント設計使われる方法 ( 要求とユーズケース ) に関連

35 SafeML のコンセプト : Harm 財産又は環境の損傷の結果直接的又は間接的に与えられる人の健康に対する肉体的傷害又は損傷特定のコンテキストで特定の危険により及ぼされる

36 SafeML のコンセプト : Context 危険が危害を引き起こせる危険状況 ( コンテキスト ) コンテキストが出ると危険事象 (hazardous event) になる危害が起こされたら危害事象 (harmful event) になる危険と危害とコンテキストが必要特定のコンテキストがないと危険は危害が引き起こせない

37 Hazard と Context と Harm 危害事象にとって本質的なことハザード分析等で見つける FMEA, FTA, STPA, SafeML では 3 つの要素で表現する Hazard Harm HarmContext

38 Hazard 要素ポテンシャルの危険の代表 SysML 関連 : システム要求システムのコンポーネントユーズケース SafeML 関連 : Harm (HarmContext 経由 )

39 Harm 要素特定のコンテキストで特定の危険が引き起こせる危害の代用 SysML 関連 : なし SafeML 関連 : Hazard (HarmContext 経由 )

40 HarmContext 要素危険と危害の関連の代表 SysML 関連 : システム要求システムのコンポーネントアクティビティ SafeML 関連 : ContextDetector

41 危害への対策どうやって危害が発生しないようにするかシステムの設計を変更することによって危険が存在しないことコンテキストが現れないことコンテキストがあっても危害が発生しない又は深刻さが減ること

42 SafeML のコンセプト : Defences 安全を確保する手法 ( 防衛方法 ) コンテキストが現れないようにすること危害を緩和すること又はなくすこと SafeML では 3 つの要素で表現する PassiveDefence and ActiveDefence DefenceResult

43 PassiveDefense 要素連続的に安全を確保する安全機能 ( 防衛方法 ) の代表安全要求に至る SysML 関連 : システムの安全要求 SafeML 関連 : HarmContext (DefenseResult 経由 )

44 ActiveDefense 要素必要がある次第安全を確保する安全機能 ( 防衛方法 ) の代表安全要求に至る SysML 関連 : システムの安全要求 SafeML 関連 : HarmContext (DefenseResult 経由 )

45 DefenseResult 要素防衛方法の結果の代表自動分析のため SysML 関連 : なし SafeML 関連 : なし

46 SafeML のコンセプト : Monitoring 必要に応じて安全を確保する防衛方法には検出方法が必要システムの特定の機能は危険事象の出現を検出する危険事象が検出された時防衛 ( 安全機能 ) は起動する SafeML で ContextDetector 要素で代表される

47 ContextDetector 要素安全性の検出方法の代表安全要求に至る SysML 関連 : システムの安全要求 SafeML 関連 : HarmContext

48 SafeML の要素と関連 Tag によって SafeML の要素に情報を追加するコンテキストの確率危害の確率 Severity 開発支援ツールで Tag を利用するある危害の合計確率の計算表や報告生成

49 SafeML と開発プロセス安全情報が使用される状況のどのような場合でも SafeML は利用可能ハザード分析とシステム設計の間検証 ( トレーサビリティ確認 )

50 Part 3 SafeML 適応の例

51 例 : 車の衝突に対しての安全性車が木に衝突すると運転手に危害が発生する衝突の可能な原因衝突を妨げることに失敗ブレーキが車の止めることに失敗安全確保のための手法クラッシャブルゾーンアンチロックブレーキシステムエアバッグ

52 例 : 車の衝突に対しての安全性車が木に衝突する (hazard) と運転手に危害が発生する (harm) 衝突の可能な原因 (context) 衝突を妨げることに失敗ブレーキが車の止めることに失敗安全確保のための手法クラッシャブルゾーン (passive defence) アンチロックブレーキシステム (active defence) エアバッグ (active defence)

53 Hazard 要素

54 HarmContext と Harm 要素

55 PassiveDefence 要素

56 PassiveDefence 要素 : 安全要求

57 ActiveDefence 要素

58 ActiveDefence 要素 : 安全要求

59 ContextDetector 要素

60 クラッシャブルゾーン安全機能

61 クラッシャブルゾーン安全機能システム要求コンテキストの元選ばれた防衛方法 ( 安全機能 ) 危険の元危険危害が引き起こせるようになるコンテキスト可能性がある危害安全要求の実装防衛方法の結果安全要求

62 ABS 安全機能

63 システム要求 ABS 安全機能コンテキストの元選ばれた防衛方法 ( 安全機能 ) 危険の元危険可能性がある危害危害が引き起こせるようになるコンテキスト防衛方法の結果選ばれた検出方法安全要求安全要求の実装安全要求の実装安全要求

64 Air bag 安全機能

65 システム要求 Air bag 安全機能危険の元危害が引き起こせるようになるコンテキスト選ばれた防衛方法 ( 安全機能 ) 危険可能性がある危害選ばれた検出方法安全要求防衛方法の結果安全要求安全要求の実装安全要求の実装

66 Part 4 ツール

67 なぜツールは必要? モデルにある安全情報の自動処理自動ならエラーがないはずだ間違えやすい処理や繰り返す処理の自動化安全性の設計にある問題探し設計変更の影響解析

68 ツールができること SafeML メタモデルとの整合性を検証するモデルチェッカ安全情報のいろいろな表示方法 ( ビュー ) 表 (Excel 風 ) 文書 (Word 風 ) マトリックスレポートの自動生成新しい危険や防衛方法の影響解析

69 SafeML でモデル化された安全情報の表

70 SafeML でモデル化された安全情報の表

71 マトリックスビュー安全性にあるギャップの簡単な検索

72 レポートの自動生成

73 SafeML の利点安全分析とシステム設計の関連付けが可能ハザード危害防衛機能等の定義安全機能のシステム実装への反映を支援するハザードから防衛機能実装へのトレーサビリティの確保既存の SysML ツールや開発プロセスで利用できる

74 まとめコミュニケーション不足はシステムの様々な欠陥の原因となる高信頼システムでは特に危険モデリング言語 SafeML で安全情報をより分かりやすくする SafeML でシステムの設計モデルと安全情報を統合的に記述することが可能

75 More information SafeML ホームページ SafeML プロファイルを無料で配布している Enterprise Architect versions 9, 10 and 11 MagicDraw versions 17 and 18 講習会は可能

77 Appendix Additional examples

78 応用の例例 : 電気ポット簡単 UMLの勉強でよく使われる例既存のシステムの分析改善

79 例例 : 電気ポット簡単 UMLの勉強でよく使われる例既存のシステムの分析改善

80 プロセスの例要求とユースケースの特定 SysMLでモデル化ハザード分析 FTA SafeMLでモデル化安全フィーチャの設計 SafeMLでモデル化モデルで安全フィーチャを設計に反映する必要に応じて反復 (1. に戻る )

81 電気ポットの例システム設計 ( モデルの一部だけ )

82 電気ポットの例安全分析ハザード電気熱蒸気湯危害感電火事やけど火事やけどやけどハザード分析ユースケース FTA

83 電気ポットの例 SafeML で安全分析結果をモデル化

84 システム要求電気ポットの例 SafeMLで安全分析結果をモデル化危害が引き起こせるようになるコンテキスト可能性がある危害危険危険の元コンテキストの元

85 Tip: Hazard/harm/context によって図を分けるこれは前スライドと同じ内容だ

86 電気ポットの例安全フィーチャ湯漏れ防衛 : ふたにゴムパッキンを使う沸かしすぎ防衛 : 自動ストップセンサが必要

87 電気ポットの例安全フィーチャのモデル化ふたのゴムパッキン

88 システム要求電気ポットの例安全フィーチャのモデル化安全要求の実装コンテキストの元安全要求危険の元危険安全要求の検証可能性がある危害危害が引き起こせるようになるコンテキスト防衛方法の結果選ばれた防衛方法 ( 安全機能 )

89 自動ストップとセンサ

90 選ばれた検出方法安全要求安全要求の検証自動ストップとセンサ安全要求の実装

91 応用例 2: レーザのパワー制限レーザポインタはレーザを出すことが必要レーザは危険ある程度力があると視力へ危害を Hazard: レーザ Harm: 視力への危害 Context: 人がレーザを放射するところに見る Defense: レーザの力に制限を使う

92 応用例 2: レーザのパワー制限

93 応用例 3: 車椅子ロボットロボット車椅子は歩道者との衝突を防ぐことが必要衝突はけがを起こす可能性がある Hazard: 歩道者 Harm: けが Context: 車いすは歩道者と衝突する Defense: 自動緊急停止 Monitoring: 歩道者の存在と位置の検出

94 応用例 3: 車椅子ロボット

Contents 1 はじめにライセンスインストール方法 Enterprise Architect 9へのインストール方法 S

Contents 1 はじめにライセンスインストール方法 Enterprise Architect 9へのインストール方法 S SafeML 1.1 User s Guide Intelligent Systems Research Institute National Institute of Advanced Industrial Science and Technology July, 2014 (User s Guide updated June, 2015) Contents 1 はじめに 3 1.1 ライセンス........................................