アシュアランスケースにおける品質到達性と トレーサビリティを考慮した記述ルール提案と 超小型衛星開発への適用評価 田中康平 1, 松野裕 2, 中坊嘉宏 3, 白坂成功 1, 中須賀真一 4 1 慶應義塾大学大学院システムデザイン マネジメント研究科 2 名古屋大学情報連携統括本部情報戦略室 3 独立行政法人産業技術総合研究所知能システム研究部門ディペンダブルシステム研究グループ 4 東京大学工学系研究科航空宇宙工学専攻
CONTENTS 導入 アシュアランスケースについて アシュアランスケースについて GSNについて D-Caseについて 適用結果 適用対象 ガイドラインに沿った記述方法 品質保証の流れ 提案する記述方法 まとめ 2
導入 : アシュアランスケースとは? 品質を保証する方法として, アシュアランスケースを利用 -GSNをベースとしたD-CASEを利用 アシュアランスケースとは? ( UK Defence Standard 00-56 Issue 4: の定義より ) 想定している環境下において, システムが正しく動作することを, 構造化することによって, 体系立てて保証する方法. Safety Case システムの 安全性 に関して保証 Assurance Case システムの 品質 に関して保証 品質には, 安全性以外にも, 信頼性 セキュリティなどを含む 3
導入 : アシュアランスケース構築の流れ 1Preliminary Safety Case 2Interim Safety Case 3Operational Safety Case : 要求仕様の整理 : 設計と検証の整理 : 全てを保証 1 3 2 2012/8/1 参考 :Arguing Safety A Systematic Approach to. Managing Safety Cases,Timothy Patrick Kelly 4
導入 :GSN について GSN(Goal Structuring Notation) とは? プロジェクトで要求する品質をトップゴールに定め, そこから, ストラテジを用いて, サブゴールの導出を行う. このことから, ゴール間の依存関係の定義を行うことができる. 特徴は, 論理的な飛躍は起きず, 要求の漏れを防ぎながら, 定めたゴールに対して, 系統立てて議論を進めることができること. 引用 :Tim Kelly and Rob Weaver(2004):The Goal Structuring Notation A Safety Argument Notation, DSN Workshop on Assurance Cases 5
導入 :GSN の主なノード Goal:1 電源システムは 死なない Strategy:1 正常 / 異常時に分けて保証する Context:1 電源システムは 2 年間動作 Evidence:1 TableSat 試験結果報告書 ノード名ゴールコンテキストストラテジエビデンス 記述内容保証したいこと, 命題各ノードに対する制約 条件命題を分けるときの観点 考え方命題を保証する証跡 根拠 6
導入 :GSN の記述例 7
導入 :D-CASE について DEOS(Dependable Embedded Operating Systems for Practical Use) で開発中の, ステークホルダ間の合意形成のために構造化されたドキュメント Tim らが提案する GSN をベースに, モニタリングという概念を追加. このことにより, 納品段階のシステムの保証だけでなく 運用まで含めたシステム開発の全ライフサイクルにおける保証 が可能となる Yutaka Matsuno, Hiroki Takamura, Yutaka Ishikawa, (2010):A Dependability Case Editor with Pattern Library, IEEE 12th HASE2010 8
導入 :D-CASE の主なノード Goal:1 電源システムは 死なない Strategy:1 正常 / 異常時に分けて保証する Context:1 電源システムは 2 年間動作 Evidence:1 TableSat 試験結果報告書 Monitor:1 BAT の充放電回数のカウント ノード名ゴールコンテキストストラテジエビデンスモニタ 記述内容保証したいこと, 命題各ノードに対する制約 条件命題を分けるときの観点 考え方命題を保証する証跡 根拠運用状況のチェック内容 9
導入 :D-CASE の記述例 10
適用対象 Hodoyoshi-3 リーズナブルなコストや信頼度で世界をリードする超小型衛星を利用や打上げを含めて開発する ほどよしプログラム で開発される 50kg 級超小型衛星の 3 号機である. 開発主体は東京大学と次世代宇宙システム技術研究組合であり, 地球観測をミッションとする. 11
適用対象 ほどよし人工衛星 3 号機電源システム に関して記述 電源システムの求める品質 ( トップゴール ) 電源システムは死なない = 運用期間中搭載機器に電力を供給し続ける 12
ガイドラインに沿った記述方法 引用 : GSN COMMUNITY STANDARD ver1 (2011,Tim ら ) 13
ガイドラインの記述方法における課題 ガイドラインの記述方法の問題点 1. 網羅性の判断が難しい問題 2. 要求される品質を達成したかどうかが判断しにくい問題 3. フェーズ間のトレーサビリティが取れない問題 実適用性を上げるために, 記述ルールを追加 14
品質保証の流れ 1. 機能図の作成 各機能の定義 保証範囲の明確化 使用条件 [ 期間 環境 etc] の定義 各種資料の作成 2.D-Case を記述 保証したいサブシステムに関して D-Case を記述する ゴールをストラテジによって分解する 各ゴールに対して必要があればコンテキストを追加する 各ゴールに対してエビデンス モニタを追加する 3. 記述した D-Case をレビューする 機能図と D-Case での言及範囲を比較する ゴールとサブゴール間に抜け関係がないことを確認する 各ゴールが保証されていることを確認する ( エビデンスの有無を確認 ) フェーズ間のトレーサビリティを確認する 15
1. 機能図の作成 蓄電機能の構成 保証範囲の明確化機能の構成を記述し, 保証する範囲の明確化を行う BAT PCU MOBC 10.BAT-Temp.x2 11.HTR-1/2[2W] J1 J10 2.BAT-monitor [Bat_V/Bat_I/Bat_temp] 3.HTR Control J9 J8 6.SW Control 7.Over Voltage Control 8.Under Voltage Control 9.Under Temperature Control 1.Over Voltage Control 13.LIBM[2P8S] J4 4.Over Current Limit 5.SW Control MOBC/AOBC/B-PDU M-PDU/SHU/RCS] Parameter Enable/Disable Control_ON/OFF Level1/Leve2 The Level of threshold Threshold [V/A/degC/Time] J6 Power Out + 使う環境 条件を定義 16
2.D-CASE を記述 17
品質の到達性 各ゴールにエビデンスを付加することで, ゴールが達成していることを確認する Strategy1 LIBM の充電機能と PCU の充電機能に分けて保証する Context1 充電機能は 3 重冗長構成である Goal2 LIBM の充電機能は失われない Evidence:1 充電試験結果報告書レビュー会の結果 Monitor:1 24V<Bat_V<32V Bat_I ゴールを保証する資料 根拠を記述 18
トレーサビリティ 各ゴールにコンテキストとモニタを付加することで, ゴールが達成していることを確認する Strategy1 LIBM の充電機能と PCU の充電機能に分けて保証する Context1 充電機能は 3 重冗長構成である Goal2 LIBM の充電機能は失われない 設計 - 検証フェーズ間 Evidence:1 充電試験結果報告書レビュー会の結果 Monitor:1 24V<Bat_V<32V Bat_I 検証 - 運用フェーズ間 19
記述結果外観 トップゴール 蓄電システムは 死なない + 使用する環境 条件を定義 充電機能に関して 充電機能に関して 温度機能に関して 20
記述例 2012/10/03 63rd IAC in Naples 21
記述例 22
記述例 上のゴールを分解 前提条件を記述 試験で保証 モニタできないことを許容 今のフェーズではこれ以上記述できないためここで記述終了 23
記述例 上のゴールを分解 前提条件を記述 試験で保証 レビューで保証 モニタできないことを許容 今のフェーズではこれ以上記述できないためここで記述終了 24
3. 記述した D-CASE をレビューする 網羅性の判断機能図と記述した Assurance Case のゴールを比較し, 記述範囲の網羅性を確認する Item Goal Evidence Test DR Monitor 1. Over Voltage Control OK OK OK OK 2. Bat-monitor OK OK OK OK 3. HTR Control OK OK OK OK 4. Over Current Limit OK OK OK OK 5. SW Control (PCU) OK OK OK OK 6. SW Control (MOBC) OK OK OK OK 7. Over Voltage Control OK OK OK OK 8. Under Voltage Control OK OK OK OK 9. Under Temperature Control OK OK OK OK 10. Bat-temperature monitor OK OK OK OK 11. HTR -1,2 OK OK OK OK 12. Structure OK OK OK N/A 13. Bat-cell OK OK OK N/A 2012/10/03 63rd IAC in Naples 25
まとめ 人工衛星電源システムに関して品質を保証するための方法を提案し, 記述結果を報告した. Assurance Case を記述する上での課題として挙げた点 1. 網羅性の判断が難しい問題 2. 要求される品質を達成したかどうかが判断しにくい問題 3. フェーズ間のトレーサビリティが取れない問題 2012/10/03 63rd IAC in Naples 26
まとめ 人工衛星電源システムに関して品質を保証するための方法を提案し, 記述結果を報告した. Assurance Caseを記述する上での課題として挙げた点 1. 網羅性の判断が難しい問題 機能図との比較により網羅性を判断 2. 要求される品質を達成したかどうかが判断しにくい問題 各ゴールにエビデンスを付加 3. フェーズ間のトレーサビリティが取れない問題 各ゴールにコンテキスト, エビデンス, モニタを付加 2012/10/03 63rd IAC in Naples 27
ご清聴ありがとうございました. 28