駅構内論理装置の踏切制御機能仕様
に対するSTAMP/STPA解析

Wed. 7/12/16
1st STAMP Workshop in Japan
東日本旅客鉄道株式会社
JR東日本研究開発センター
阿満 利仁(Rihito Aman)
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

発表の流れ1.

背景•
鉄道における踏切制御
2. 駅構内論理装置と踏切制御のSW化•
駅構内論理装置（構内LC）•
駅構内踏切制御SW化の課題
3. STAMP/STPAの適用
4.

その他

１
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

1.

背景

•
鉄道における踏切制御
2. 駅構内論理装置と踏切制御のSW化•
駅構内論理装置（構内LC）•
駅構内踏切制御SW化の課題
3. STAMP/STPAの適用
4.

その他

Copyright © 2016 East Japan Railway Company, All Rights Reserved.

鉄道における踏切制御
踏切制御の基本：中間踏切
警報終止

警報開始

踏切制御装置(Level Crossing Controller)

ハードロジック(Relay)

踏切

C2

C1

警報終止点

警報開始点

踏切制御区間列車の有無を確認

２
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

中間踏切の電子制御は20年ほど前に実用化

ソフトロジック(Computer)鉄道における踏切制御• 非常に高い動作精度を要求• 列車が接近しているにもかかわらず警報制御されていない
ことは重大なアクシデントを引き起こすハザードとなる• 装置故障や制御誤りを検知した場合は警報を持続させる
①故障検知

②警報持続
踏切

C1
警報開始点

３

C2

警報終止点

• 警報の持続は列車と道路通行車(者)の衝突を防ぐが、道路交通に重大な影響を与える。

Copyright © 2016 East Japan Railway Company, All Rights Reserved.

鉄道における踏切制御• 駅構内は多くの列車が行きかうため、制御は複雑になる。
• 連動装置(駅構内で列車進路を制御する装置)• 上下線の複数列車の取り扱い• 構内を行きかう車両(入換車両)

４－１
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

鉄道における踏切制御• 駅構内は多くの列車が行きかうため、制御は複雑になる。
• 連動装置(駅構内で列車進路を制御する装置)• 上下線の複数列車の取り扱い• 構内を行きかう車両(入換車両)

４－２
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

1.

背景

•
鉄道における踏切制御
2. 駅構内論理装置と踏切制御のSW化•
駅構内論理装置（構内LC）•駅構内踏切制御SW化の課題
3. STAMP/STPAの適用
4.

その他

Copyright © 2016 East Japan Railway Company, All Rights Reserved.

駅構内論理装置（構内LC）• 連動装置(駅構内で列車進路を制御する装置)• 当社の場合、約半数はハードロジック
継電連動装置/Relay Interlocking Device• 約半数はソフトロジック
電子連動装置/Electronic Interlocking Device• 連動装置の課題と最近の開発• 現場配線…大量のメタルケーブル⇒光ケーブルを使った制御の実用化(NW信号)• 制御論理…機能毎に個別の制御論理⇒機能統合した装置の実用化(構内LC)

５
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

駅構内論理装置（構内LC）
NW信号
Network-based Signal Control System

駅構内論理装置（構内LC）
Station Logical Controller

連動装置
S-LAN (専用)

制御論理部（NW対応）

駅構内論理装置

制御論理部

PON

送受信部

ATS-P制御部

PON
光ケーブル

踏切制御装置

送受信部

光ケーブル

メタルケーブルメタルケーブル

FC:小形制御端末
FC
FC

信号機

６ATS-P
地上子

FC

軌道回路

FC

FC

FC

踏切

転てつ機

ネットワーク制御

監視制御系

軌道回路
NW制御対象外設備

光制御の拡大Copyright © 2016 East Japan Railway Company, All Rights Reserved.

信号機

ATS-P
転てつ機 地上子

踏切

駅構内踏切制御SW化の課題• 駅構内踏切制御をソフトウェア化し、連動制御と一体開発する試みはこれまで幾度となくなされてきた。
• 安全性を担保する、標準的な制御論理の実装に至っていない• 駅構内の形状、進路は多種多様• 各種装置や列車の挙動が正しくても不具合が発生• 不具合が生じた場合は都度の改良・対策• 経験の積み重ねの要素が大きい• 制御が一層複雑化• FTA/FMEAの適用が困難• インタラクション要素が大きい駅構内踏切制御はSTAMPが有効
７
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

駅構内踏切制御SW化の課題
列車数

中間

構内

単一列車

単行

単行

複数列車

続行

続行

対向

対向―

分岐―

集約―

交差

７’
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

分岐集約交差

1.

背景と目的

•
鉄道における踏切制御
2. 駅構内論理装置とその踏切制御機能のSW化•駅構内論理装置（構内LC）•
駅構内踏切制御SW化の課題
3. STAMP/STPAの適用
4.

その他

Copyright © 2016 East Japan Railway Company, All Rights Reserved.

STAMP/STPAの適用• 構内LCとその踏切制御(含むFC構内踏切)のコントロールループを中心にしたシステム全体の図

踏切制御

８Copyright © 2016 East Japan Railway Company, All Rights Reserved.

STAMP/STPAの適用• 構内LCの踏切制御における状態遷移①

ＮＯ．

状態遷移条件①

警報準備

当該警報区分進路に列車非在線かつ区分進路予約が成立②

非警報

当該警報区分進路の接近又は進路予約が不成立。または、転てつ器転換等により進路非開通③

警報

当該警報区分進路が進入または進入完了

④

警報準備

当該警報区分進路が進出で進路予約が成立⑤

非警報

当該警報区分進路が進出で進路予約なし

⑥

在線監視

当該区分進路が追跡異常⑦

非警報

当該警報区分進路が在線監視終了

⑧

警報準備

当該警報区分進路の進路予約が不成立⑨在線監視

当該区分進路が追跡異常

警報準備

非警報（非在線）②⑤④⑧警報⑥⑦③⑨在線監視

９Copyright © 2016 East Japan Railway Company, All Rights Reserved.

・警報区分進路：連動論理で処理される進路から作成される、その進路に列車が進入した場合踏切警報の対象となる進路のこと。

STAMP/STPAの適用• 構内LCの踏切制御における状態遷移
非警報

①

警報準備
（非在線）

非警報
②

⑤④⑧警報
③
⑥⑦９’－１
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

⑨在線監視STAMP/STPAの適用• 構内LCの踏切制御における状態遷移
非警報
警報準備

①

警報準備（非在線）

非警報
②

⑤④⑧警報
③⑥⑦９’－２
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

⑨在線監視STAMP/STPAの適用• 構内LCの踏切制御における状態遷移
非警報
警報準備
警報

①警報準備（非在線）

非警報②⑤④⑧警報③⑥⑦９’－３
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

⑨在線監視STAMP/STPAの適用• 構内LCの踏切制御における状態遷移
非警報①

警報準備（非在線）

非警報②⑤④⑧警報③⑥⑦９’－４
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

⑨在線監視STAMP/STPAの適用• Step0-1:ハザードの識別

アクシデント：列車と人・車が踏切内で衝突する

H1 ： 列車が在線で踏切が遮断しない
H2 ： 踏切が遮断後に列車が在線にもかかわらず開く
H3 ： 警報時間の不足
H4 ： 警報時間の過剰
H5 ： 列車が非在線で踏切が遮断する• 構内LCからFC構内踏切（踏切制御）
への制御電文のうち、踏切の遮断に最も関わる「”SR”の扛上、落下」を分析対象のControl Actionと整理

１０
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

アクシデント：踏切が開かず、交通が渋滞する⇒本件では評価対象外

STAMP/STPAの適用• Step0-2:Control Structure Diagram の作成
ユーザ（操作者）
・指示データ設定

てこ(信号・踏切)・設定完了情報※構内LC→FC構内踏切
・制御情報(SR)・故障情報
・使用停止情報
・入換情報
・てこ情報

・てこ状態

構内LC（2系）

・状態通知

構内LC（1系）

・制御切替

・LC制御情報

遠隔監視
遠隔制御

・構内LC状態通知
・構内現場設備状態通知
・FC状態通知・FC表示電文・FC制御情報・FC制御電文・設備監視電文PON・FC制御電文

・FC表示電文

・軌道回路状態・転轍器制御（解錠／鎖錠）

・現示制御（進行／警戒信号現示）

・警報状態

・制御子状態・タイマ状態・軌道回路状態・SR状態※（定位保持／反位保持）・ 転轍器状態

・てこ制御（開通／鎖錠）・信号状態 ・現示制御 ・標識状態

・制御子状態設定

FC
軌道回路FC転轍機FC
信号機

FC
標識

FC
構内踏切

IF FC

列車

転轍機信号機

標識

踏切制御機

踏切制御子

１１
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

遮断機
警報機

STAMP/STPAの適用• Step1:Unsafe Control Action の抽出とハザードシナリオ
制御アクション

SR落下

提供されないNot Provided

列車が警報区分進路に在線しており、・警報準備経由で警報中となる条件・在線監視となる条件
・非警報から警報中となる条件が合致する状況において、SR落下が提供されないと、H1「列車が在線で踏切が遮断しない」に至る。

誤って提供される
Incorrectly Provided

早すぎる／遅すぎる／順序が違うToo early too late途中で停止する／（過剰に長引く）
stop to soon

列車が警報区分進路に実際に在 列車が警報区分進路に実際に在線 列車が警報区分進路に実際に在線線しておらず、しているが、しているときに、SRの落下出力が・警報準備経由で警報中となる ・警報準備経由で警報中となる条 停止してもSR扛上が提供されない
条件件
ので、H2「踏切が遮断後に列車が・在線監視となる条件
・在線監視となる条件
在線にも関わらず開く」には至ら
・非警報から警報中となる条件 ・非警報から警報中となる条件
ないが合致しない状況において、SR が合致しない状況において、早ま落下が提供されるとH5「列車が ってSR落下が提供されるとH4「警非在線で踏切が遮断する」に至 報時間の過剰」に至る。
列車が警報区分進路に実際に在線る。
しておらず、・警報準備経由で警報中となる条列車が警報区分進路に実際に在線 件しており、・在線監視となる条件
・警報準備経由で警報中となる条 ・非警報から警報中となる条件件が合致しない状況において、SR落・在線監視となる条件下が過剰に長引くとH4「警報時間・非警報から警報中となる条件の過剰」に至る。
が合致する状況において、遅れてSR落下が提供されるとH3「警報時間の不足」に至る。

１２
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

STAMP/STPAの適用• Step1:Unsafe Control Action の抽出とハザードシナリオ
No.

ハザードシナリオ

1

列車が警報区分進路に実際に在線しており、SR落下が合致する状況において、SR落下が提供されないと、ハザードH1「列車が在線で踏切が遮断しない」に至る。

2

列車が警報区分進路に実際に在線しており、SR落下が合致する状況において、遅れてSR落下が提供されると、ハザードH3「警報時間の不足」に至る。

3

列車が警報区分進路に実際に在線しており、SR扛上のいずれも合致しない状況において、SR扛上が提供されると、ハザードH2「踏切が遮断後に列車が在線にもかかわらず開く」に至る。

4

列車が警報区分進路に実際に在線しておらず、SR扛上のいずれも合致しない状況において、早まってSR扛上が提供されると、ハザードH3「警報時間の不足」に至る。
踏切(開)

踏切(開)

FC構内踏切FC構内踏切踏切解放指示(SRの扛上)が誤って提供される

踏切遮断指示(SRの落下)が提供されない
踏切処理

踏切処理

１３

ハザードシナリオ１

Copyright © 2016 East Japan Railway Company, All Rights Reserved.

ハザードシナリオ３

STAMP/STPAの適用• Step2：Hazard Causal Factor の特定シナリオNo.1：列車が警報区分進路に実際に在線しており、SR落下が合致する状況において、SR落下が提供されないと、ハザードH1「列車が在線で踏切が遮断しない」に至る。

軌道回路状態の喪失／誤り

転轍機状態の喪失／誤り

信号状態の喪失／誤り

代用てこ情報の誤り

制御子情報の喪失／誤り

構内LC
SR落下の制御電文の喪失

・各FCからの電文を受信しない
・SR落下条件合致を判断しない
or判断しても、落下を実行しない
・外部状況の認識誤り(軌道回路、転てつ器、てこ…)・PON電源断による電文の喪失
・PON切替による電文の喪失
SR落下の制御電文の喪失

警報状態の表示電文の喪失／誤り・PON電源断による電文の喪失
・PON切替による電文の喪失

FC構内踏切・電文を受信しない
・電文の解釈の誤り
・電文を受信しても、SR落下信号を送出しない

意図しない制御電文の上SR落下信号の送出喪失
１４
外的要因(停電、電圧変動、Copyright © 2016 East Japan Railway Company, All Rights Reserved. 低温・高温環境、振動)

警報状態の表示電文の喪失／誤り

STAMP/STPAの適用• Step3：安全制約の識別• ハザードシナリオ１～４の合計で、111件の安全制約（安全要求）を識別• シナリオNo.1に対する安全制約の例
制御対象

被制御対象

構内LC

PON

SR落下の制御電文の喪失

制御電文を喪失しない、喪失を検知する

PON

FC構内踏切SR落下の制御電文の喪失

制御電文を喪失しない、喪失を検知する

FC構内踏切PON

警報状態の表示電文の喪失・誤り制御電文を喪失しない、喪失を検知する

PON

構内LC

警報状態の表示電文の喪失・誤り制御電文を喪失しない、喪失を検知する

各種FC

構内LC

各々の状態の喪失・誤り各FCからの電文を喪失しない or 喪失を検知する

FC構内踏切踏切制御機

SR落下信号の喪失

制御信号を喪失しない or 喪失の検知をする

・軌道回路状態の「進出」を判断しない
・軌道回路情報と踏切制御子情報が合致しない

・現在の状態で、軌道回路を正しく判断する・合致しない場合は安全側に制御（警報）

停電・電圧変動、低温・高温、振動

これら条件でも、FC構内踏切の制御を誤らない

構内LC
軌道回路状態の認識
外部環境

ハザード要因１５Copyright © 2016 East Japan Railway Company, All Rights Reserved.

安全制約（安全要求）

STAMP/STPAの適用• 状態遷移図の修正• STAMP/STPA Step1,2（ハザードシナリオ及びその要因を識別する過程）において、H1ハザードに至る警報状態遷移の抜け・誤りを識別したため、警報状態遷移図を修正

１６• a : 警報状態が「非警報」で軌道回路状態（警報区分進路）が「進入」のとき、進路予約状態が「成立」した場合の遷移

Copyright © 2016 East Japan Railway Company, All Rights Reserved.

STAMP/STPAの適用• どのような場合か？
非警報

１７－１
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

STAMP/STPAの適用• どのような場合か？
非警報
警報

１７－２
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

STAMP/STPAの適用• どのような場合か？
非警報(在線)
非警報
警報

１７－３
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

STAMP/STPAの適用• どのような場合か？
警報
非警報(在線)非警報１７－４
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

1.

背景と目的

•
鉄道における踏切制御
2. 駅構内論理装置とその踏切制御機能のSW化•駅構内論理装置（構内LC）•駅構内踏切制御SW化の課題
3. STAMP/STPAの適用
4.

その他

Copyright © 2016 East Japan Railway Company, All Rights Reserved.

その他• 統合フォーマル検証【統合フォーマル検証】【検証対象を絞る技術】 検証対象を安全上重要な箇所に絞る
システム分析技術
（IVVケースとして記述）【IV&V評価】

・STAMP/STPA

・FRAM
安全解析
※1
・CBCS 安全要求を参考にしたFTA・STPA-Sec【フォーマル検証技術】

・SPIN モデル検査※1 Computer-Based Control System【モデル解析】
不具合分析技術・CAST※2※2 Causal Analysis based on STAMP

検証対象を過去の同種のソフトウェアの不具合分析から得られたソフトウェアの弱点に絞る・標準IV&V解析技法Ⓒ有人宇宙システム株式会社

１８
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

その他• モデル検査を通じての状態遷移の修正

１９
Copyright © 2016 East Japan Railway Company, All Rights Reserved.

その他• 駅構内踏切制御にSTAMP/STPAは有効• 駅構内論理装置の踏切制御機能について、暗黙知化されていた状態遷移の区分化・明確化を達成• 連動装置と踏切制御装置のより厳密な情報のやり取りが必要であることも示された。
• 鉄道分野でSTAMPが幅広く活用出来る可能性• 列車運行管理システム•

連動装置、列車、ダイヤ、指令などのインタラクション• 車両制御システム••

ドライバー、ブレーキ、先行列車などのインタラクション
車両だけでもモデルが作成可能(ドア開閉とその表示)

２０
Copyright © 2016 East Japan Railway Company, All Rights Reserved.