1st STAMP Workshop in Japan

1st STAMP Workshop in Japan目次

2016/12/7

2016/12/7

１．はじめに
２．STAMP解析（FS-CPUブロックの事例）
2-1． Step0 準備１ アクシデント、ハザード、安全制約の識別
2-2． Step0 準備２ コントロールストラクチャーの構築

ＳＴＡＭＰ解析での定量的評価とＳＴＡＭＰ解析で2-3． Step1 UCA（Unsafe Control Action）の抽出

ＳＴＡＭＰ解析の開発プロセスにおける適用段階
ＳＴＡＭＰ解析の開発プロセスにおける適用段階

2-4．Step2 HCF（Hazard Causal Factor）の特定
３．既存のPHAの事例（FS-CPUブロックの事例）
４．STAMPでの定量的評価（Quantitative analysis）について
５．おわりに株式会社京三製作所 開発センター
髙田哲也（Tetsuya TAKATA）

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

12

当社製品のご紹介
１．はじめに1st STAMP Workshop in Japan
2016/12/7

1st STAMP Workshop in Japan
2016/12/7

製品サービス群

１．はじめに

鉄道信号システム

２．STAMP解析（FS-CPUブロックの事例）
2-1． Step0 準備１ アクシデント、ハザード、安全制約の識別
2-2． Step0 準備２ コントロールストラクチャーの構築
2-3． Step1 UCA（Unsafe Control Action）の抽出

交通管理システム

2-4．Step2 HCF（Hazard Causal Factor）の特定
３．既存のPHAの事例（FS-CPUブロックの事例）

電力変換システム

４．STAMPでの定量的評価（Quantitative analysis）について
５．おわりに海外事業
Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

3

当社製品のご紹介
１．はじめに当社製品のご紹介
１．はじめに1st STAMP Workshop in Japan
2016/12/7

鉄道信号システム その２

鉄道信号システム

適用分野
これら適用分野における列車を制御する装置を提供
新幹線

都市鉄道

4

列車運行管理装置

1st STAMP Workshop in Japan
2016/12/7

製品群
可動ホーム柵ＬＲＴ

踏切しゃ断機踏切しゃ断機
モノレール

ﾘﾆｱﾓｰﾀｰｶｰ

転てつ機
転てつ機

ＡＰＭ

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

56

１．はじめに1st STAMP Workshop in Japan

1st STAMP Workshop in Japan

2016/12/7

2016/12/7

電子連動装置

１．はじめに（Electronic Interlocking）
Interlocking）

２．STAMP解析（FS-CPUブロックの事例）
2-1． Step0 準備１ アクシデント、ハザード、安全制約の識別

FS-CPUブロック

機能層

2-2． Step0 準備２ コントロールストラクチャーの構築

連動論理部（Function layer）

2-3． Step1 UCA（Unsafe Control Action）の抽出
2-4．Step2 HCF（Hazard Causal Factor）の特定ネットワーク層

３．既存のPHAの事例（FS-CPUブロックの事例）（Network layer）

４．STAMPでの定量的評価（quantitative analysis）について
５．おわりに電子端末端末層（Terminal layer）
転てつ機（point machine）

信号機（signal）

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

7

1st STAMP Workshop in Japan

2-1．Step0 準備１ アクシデント、ハザード、安全制約の識別

8

1st STAMP Workshop in Japan

2-1．Step0 準備１ アクシデント、ハザード、安全制約の識別

2016/12/7

2016/12/7

列車制御システムATP

FS-CPUブロック

SSI
2015年5月12日(米)アムトラック脱線

FS-CPUブロック

アクシデント（accident）
衝突・脱線
2005年4月25日(日)福知山線脱線（Train collision/Train derailment）

2015年11月14日(仏)テスト走行TGV脱線①分析しようとするアクシデントが何であるかを定義する。
②アクシデントとなりうるハザードには何があるかを考える。
運輸安全委員会年報2016より③ハザードの裏返しとなる安全制約を導き出す。

2016年11月9日(英)路面電車脱線

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

92-1．Step0 準備１ アクシデント、ハザード、安全制約の識別

1st STAMP Workshop in Japan
2016/12/7Railway accidents（2015)10

2-1．Step0 準備１ アクシデント、ハザード、安全制約の識別

1st STAMP Workshop in Japan
2016/12/7

表１．Step0 アクシデント、ハザード、安全制約の識別

Train collision
Train derailment（Train derailment）（Train collision）

列車脱線事故東日本旅客鉄道 米坂線
H27.1.25

列車衝突事故日本貨物鉄道 函館線
H27.2.17

アクシデント（Loss）

ハザード（Hazard）

安全制約（Safety Constraints）(A1)危険側事象 列車衝突など（H1）出力０時に制御リレーが扛上する。

（SC1）各部の診断機能と、誤り検出時の安全側制御機構を備える。

（A1）危険側事象 列車衝突など（H2）意図しないデータが伝わり不正な制御される。

（SC1）各部の診断機能と、誤り検出時の安全側制御機構を備える。

（Train derailment）（Train derailment）

列車脱線事故東日本旅客鉄道篠ノ井線
H27.1.24

列車脱線事故東日本旅客鉄道 山田線
H27.12.11（Vehicle derailment）
車両脱線事故長崎電気軌道 桜町支線
H27.10.11（Train derailment）
列車脱線事故南阿蘇鉄道 高森線
H27.10.29（Train derailment）
列車脱線事故四国旅客鉄道 高徳線
H27.12.31
運輸安全委員会年報2016より（JTSB Annual Report 2016）

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

1112

1st STAMP Workshop in Japan

2-2．Step0 準備２ コントロールストラクチャーの構築

2016/12/7

1st STAMP Workshop in Japan

2-3．Step1 UCA（Unsafe Control Action）の抽出

2016/12/7

STPA Step1： 安全でないコントロールアクション（Unsafe control action）の識別

登場人物（Controller、Controlled Process）の整理

UCAの識別は、ハザードにつながる恐れのあるコントロールアクションの不具合を明確にすることを目的としており、大きく分けて以下に分類される。

・フェールセーフCPU部
・シリアルIF部
・パラレルIF部
Control Action
制御情報S出力
フェールセーフCPU

出力電文
シリアルIF部

Feedback
制御情報S折り返し

1.Not Provided：安全のためのコントロールアクションが設置されていない。
2.Incorrectly Provided：
ハザードにつながるおそれのある、安全ではないコントロールアクションが設置されている。
3. Provided Too Early, Too Late, or Out of Sequence：
コントロールアクションのタイミングが遅すぎる、早すぎる、または定められた順序に設置さていない。
4.Stopped Too Soon：コントロールアクションがすぐに止まる、もしくは適用が長すぎる。

他装置（FS)

フィードバックなし

情報S入力

入力電文

Control Action
制御情報P

リレー出力

パラレルIF部
Feedback
制御情報S折り返し

ハザードにつながる恐れのあるコントロールアクションの分類

フィードバックなし

情報P入力

接点入力

以前のSTPA 解説書に記載されていた「Incorrectly Provided」は、「誤った制御情報が提供される」ではなく、「誤った条件で正しい制御情報が提供される」の意味なので、今は「Providing causes hazard」と記載するように改善されている。

リレー

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

13

2-4．Step2 HCF（Hazard Causal Factor）の特定

1st STAMP Workshop in Japan
2016/12/7

STPA Step2： Causal factor （誘発要因） の特定
STPAの最後の段階として、STPA Step 1で識別したUCAの原因となるCausalfactor と、予想される事故シナリオの特定を行う。（要求されたコントロールアクションが設置されているが、それに従っていない）

14

1st STAMP Workshop in Japan

2-5．STAMPの解析

2016/12/7

アクシデント（accident）
システム（system）
FS-CPUブロック(1) コントロール入力や外部情報の誤りや喪失(2) 不適切なコントロールアルゴリズム（作成時の欠陥、プロセスの変更、誤った修正や適用）(3) 不整合、不完全、または不正確なプロセスモデル。不適切な操作。
(4) コンポーネントの不具合。経年による変化。
(5) 不適切なフィードバック、あるいはフィードバックの喪失。フィードバックの遅れ。
(6) 不正確な情報の供給、または情報の欠如。測定の不正確性。フィードバックの遅れ。
(7) 操作の遅れ(8) 不適切または無効なコントロールアクション、コントロールアクションの喪失。
(9) コントロールアクションの衝突。プロセス入力の喪失または誤り。
(10) 未確認、または範囲外の障害(11) システムにハザードを引き起こすプロセス出力

ハザードに至る要因からハザード（Hazard）
想定事象を解析する流れ

アクシデントハザードに至る想定事象

衝突・脱線（Train collision/Train derailment）

アプローチ
トップダウン（top-down approach）
リスクレベル（Risk Level）

コントロールループの流れにおいて予想される不備を示したもの※「STAMP手法に関する調査報告書」 IPA 2015年8月
Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

15

1st STAMP Workshop in Japan
2016/12/7

16

1st STAMP Workshop in Japan

３．既存のPHAの事例①想定事象

2016/12/7②ハザード

１．はじめに⑥対策③危険事象の発生頻度

２．STAMP解析（FS-CPUブロックの事例）④ハザードによる結果の深刻さレベル

2-1． Step0 準備１ アクシデント、ハザード、安全制約の識別⑦対策後のリスクレベル⑤リスクレベル（③×④）

2-2． Step0 準備２ コントロールストラクチャーの構築
2-3． Step1 UCA（Unsafe Control Action）の抽出
2-4．Step2 HCF（Hazard Causal Factor）の特定
３．既存のPHAの事例（FS-CPUブロックの事例）
４．STAMPでの定量的評価（Quantitative analysis）について
５．おわりにCopyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

1718

３．既存のPHAの事例

1st STAMP Workshop in Japan

1st STAMP Workshop in Japan

2016/12/7

2016/12/7

システム

１．はじめに
２．STAMP解析（FS-CPUブロックの事例）

Input

Output

機能2

Input

機能1

入力がシステムへ与える影響

2-1． Step0 準備１ アクシデント、ハザード、安全制約の識別

出力がシステムへ与える影響

2-2． Step0 準備２ コントロールストラクチャーの構築

想定事象から機能（処理）がシステムへ与える影響

Input
OutputInput

Output機能32-3． Step1 UCA（Unsafe Control Action）の抽出

ハザードに至る要因を解析する流れ
機能ブロック図アクシデント（accident）
衝突・脱線

2-4．Step2 HCF（Hazard Causal Factor）の特定
３．既存のPHAの事例（FS-CPUブロックの事例）

どのハザードに至るか

４．STAMPでの定量的評価（Quantitative analysis）についてアプローチ
ボトムアップ５．おわりに（Train collision/Train derailment）（bottom-up approach）
リスクレベル（Risk Level）

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

19

1st STAMP Workshop in Japan

４．STAMPでの定量的評価について

2016/12/7

20

1st STAMP Workshop in Japan

４．STAMPでの定量的評価について

2016/12/7

IEC62278（EN50126） RAMS規格

これまでの信号システム「フェールセーフ技術」を その安全性の基本

Railway applications-システムの一部に故障が生じたときには必ず赤信号となって、列車を停止するようにシステムが動作

Specification and demonstration ofreliability,availability,maintainability
and safety（RAMS）

安全性だけでなく信頼性、稼動性、保全性をバランスよく考えてシステムを構築（Quality of service）（Safety）

鉄道分野-

保守の介在による危険、故障時の危険、使用停止時の危険を考え、正常時、故障に至った瞬間だけの安全性では不十分＋ できるだけ定量的に評価（Railway RAMS）（Availbility）

信頼性,アベイラビリティ,保全性,安全性（RAMS）の使用と実証

RAMSの考え方
Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

21

1st STAMP Workshop in Japan

４．STAMPでの定量的評価について

2016/12/7

22

４．STAMPでの定量的評価について

IEC62278（EN50126） RAMS規格②ハザード

2016/12/7

ハザードを特定
Step0 準備１ アクシデント、ハザード、安全制約の識別 にて抽出・システムのハザード及び安全リスク分析の実施
・ハザードログの作成
・リスク査定実施（Risk analysis）

1st STAMP Workshop in Japan

第３段階④ハザードによる結果の深刻さレベル
IEC62278 RAMS規格

リスク分析はいくつかのフェーズで繰り返さなければならない場合がある

4.6.2.3 表3①想定事象などにより設定ハザードを引き起こす事象を特定

Step1 にて UCA

6.3 フェーズ３：リスク分析（Unsafe Control Action）の抽出

6.3.1 目的

③危険事象の発生頻度
IEC62278 RAMS規格
4.6.2.2 表2などにより設定
Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

2324

1st STAMP Workshop in Japan

４．STAMPでの定量的評価について

2016/12/7

1st STAMP Workshop in Japan

４．STAMPでの定量的評価について⑤リスクレベル リスクを割り出す
IEC62278 RAMS規格
4.6.2.4 表6などにより設定②ハザード

2016/12/7⑥対策④ハザードによる結果の深刻さレベル①想定事象③危険事象の発生頻度⑦対策後のリスクレベル⑤リスクレベル（③×④）

想定シナリオ
Step2 にてHCF
第4段階（Hazard Causal Factor）の特定

⑥要求仕様
第6段階

想定シナリオに至らないための制約事項を設定⑦設計
制約事項をもとに対策の検討⑧FMEA等で結果を解析
対策の効果を確認（設計の妥当性確認⇒部品レベルでのFMEA
Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

25

1st STAMP Workshop in Japan
2016/12/7

26

1st STAMP Workshop in Japan

５．おわりに2016/12/7

１．はじめにSTAMP解析

２．STAMP解析（FS-CPUブロックの事例）
2-1． Step0 準備１ アクシデント、ハザード、安全制約の識別

開発初期段階（Preliminary design phase）に行い、安全が確保できることを確認し、その後、設計を進める中で、STAMPを遵守しているか、逸脱する場合は、どのように修正するかを考え、トップダウン（top-down）で進めていく。

2-2． Step0 準備２ コントロールストラクチャーの構築
2-3． Step1 UCA（Unsafe Control Action）の抽出
2-4．Step2 HCF（Hazard Causal Factor）の特定
３．既存のPHAの事例（FS-CPUブロックの事例）

FMEA解析

４．STAMPでの定量的評価（Quantitative analysis）について連携

５．おわりに設計完了段階（Final design phase）に、部品（ハードウェア）、モジュール（ソフトウェア）レベルに基づく詳細のFMEAを実施し、ボトムアップ（bottom-up）で対策の妥当性確認する。

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

27

1st STAMP Workshop in Japan

５．おわりに2016/12/7

これからの信号システムの目指す安全
これからの信号システムの目指す安全
列車制御システム（Train Control system)
機能安全（functional safety)

既存システムSafety0.0■人の注意力に頼る時代

28

1st STAMP Workshop in Japan

謝辞

2016/12/7(intrinsic safeｔｙ)

ご清聴ありがとうございました

Unified TrainControl System

Thank you for your attention.

本質安全

Safety1.0
ME化

Safety2.0■ 安全を組み■ それぞれが込んだものを提供する時代

必要な情報を交換することにより安全を確保する時代

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

Copyright 2016 kyosan Electric Mfg. Co., Ltd. All Rights Reserved.

2930