社会技術システムのモデル化と検証シンポジウム
2016.12.5

システム理論 -- System Theory
STAMP
保証ケース -- Assurance caseアーキテクチャ指向保証ケース開発法 ABACE
Architecture Based Assurance Case Engineering
O-DA -- Open Dependability through Assuredness
名古屋大学大学院情報科学研究科
Nagoya University
山本修一郎 Shuichiro Yamamoto
Copyright Prof. Dr. Shuichiro Yamamoto 20161

システム理論、安全分析、保証ケース

安全分析
Safetyanalysis

システム理論
SystemtheoryArchitecture
人間系を含む

保証ケース
Assurancecase
Copyright Prof. Dr. Shuichiro Yamamoto 2016

Safety constraint2

合意記述の前提、記述境界、前提境界
合意記述境界 agreement boundary

AssuranceCase

合意記述の前提、説明対象、証拠Context, subject, evidence
前提境界 context boundary
Copyright Prof. Dr. Shuichiro Yamamoto 20163

保証ケース – Assurance case
 証拠によって主張が正しいことを説明する手法
前提 Context
対象システムはコンポー
ネントAとBからなる

対象システムは安全である

主張 Claim

システム構成で説明

説明 Strategy

コンポーネントは安全である

コンポーネント関係は安全である

コンポーネントで説明

コンポーネント関係で説明

コンポーネント
Aは安全であるコンポーネント
Bは安全である

Aの安全性
確認結果

Bの安全性
確認結果

AとBの関係は安全である

証拠
Evidence

Copyright Prof. Dr. Shuichiro Yamamoto 2016

AとBの関係の安全性確
認結果

4System theory

Copyright Prof. Dr. Shuichiro Yamamoto 20165

システム論の展開 Evolution of System Theory
System models-Systems Engineering–Cybernetics- System Dynamics-General systems theory

Hierarchical Feedback loop

STAMPsystems taken as a whole Leveson 2009

Socio Technological systems
Enterprise Architecture SAEAM
Viable System Model
Buckl et.al 2010
Beer 1972
Soft Systems Methodology
Checkland 1981
7 samurai
Martin 2004
Systemigram
Boardman 2008

Ontology
Set theory Bunge 1977
Information system

System graph
Wand & Weber 1990

Copyright Prof. Dr. Shuichiro Yamamoto 2016

Conceptagon
Boardman 20096

システムとは A system S = (T, R) where

T is a set of things andR is a relation defined on T

G. Klir, Facets of System Science, New York: Kluwer, 2001.

Copyright Prof. Dr. Shuichiro Yamamoto 2016

7

SSM：Soft Systems Methodology
STAGE-7：行動
STAGE-1：発見
現実世界

構造化されていない問題状況を発見

STAGE-6：変革

問題状況を改善する
変革を実施

実行可能で望ましい変革案を策定

STAGE-5：比較

STAGE-2：表現問題状況を表現表現された問題状況と概念モデルを比較

STAGE-3：選択 関連システムの基本定義を作成

STAGE-4：構築概念モデルを作成

現実世界についてのシステム思考
Copyright Prof. Dr. Shuichiro Yamamoto 2016

8

BSSM: Boardman SSM

BSSMとSSM
段階

視点

SSM

１

状況の抽出

問題状況を分析

同左

２

状況の表現

■適切な選択を可能とするように状況を表現■構造とプロセスの相互関係「状況の風潮」

同左

３

基本定義

■特定の視点「世界観」によるシステムの命名■問題状況を改善する仮説群

構造化文章によりシステム要素を定義

４

概念モデル

■入力ー変換ー出力■構成要素＝動詞■形式化できるシステムとそれを取り巻く環境
■階層化
■終了条件

システムミグラム Systemigram
によって入力を出力に変換するシ
ステムの行為を記述する

５

比較■概念モデルによる問題状況の評価■反復的な評価

系統的な質問概念モデルと現実を比較

６

改革案■構造改革■プロセス改革■行動改革

同左

７

改革の実行

改革による問題状況が解消されることを監視
新たな問題が発生する場合，段階１に戻る

同左

Copyright Prof. Dr. Shuichiro Yamamoto 2016

BSSM

9

列車運行システムのシステミグラム
systemigram for train operation
ノード関係
実施

運行業務

運転士
危険性
発生
運転
順応

発生

発生

発生
組織文化

現場
危険性
危険性

列車

回避

回避

危険性

危険性

回避
発生

作成
運行安全委員会
自然現象対策方針

作成

影響
危険行為

自然現象設置作成
ATS設置方針

自動列車停止装置（ＡＴＳ）

運行規則
準拠

ノード準拠

運転業務
設計者
作成

Copyright Prof. Dr. Shuichiro Yamamoto 2016

列車運転
業務設計書
10

コンセプタゴン Conceptagon
Interior
内部Openness

Hierarchy

Exterior

外部開放性

コマンド

階層性

Command

コントロール

境界Boundary

創発Emergence

コミュ
ニケーションCommunication

多様性

Variety

Control

入力

Input

システム

調和

systemHarmony

変換

Transformation

節約性

出力

OutputParsimony

関係

機能

構造

Function

全体

Relationship

Whole
部分

Part

プロ
セス

Copyright Prof. Dr. Shuichiro Yamamoto 2016

Structure

Process11

VSM -- Viable System Model
方針管理
外部環境

S5

管理

ポリシー（S5）
組織全体方針の決定により，現在と未来ならびに，部分全体を均衡

適応 インテリジェンス(S4)
将来
環境

外部環境の変化に対しS3との相互作用により適応
戦略的意思決定と危機管理

S4
S3

S2

現在のシステム環境

監督 コントロール(S3)

調整

局所環境

1345

2

局所環境

1345

2

S1を制御、S2を監督
システムの資源配置を維持
責任体制の構築と制御
コーディネーション(S2)
S1及びシステム間を調整するための情報チャネル

実行S1Copyright Prof. Dr. Shuichiro Yamamoto 2016

インプリメンテーション(S1)
対象システムの基本活動
環境とのインタフェースを持つ
12

７人の侍フレームワーク –7 samurai frameworkneeds to understandRealizationsystem(S3)Invension
System(S2)intende to address

Context
System(S1)
Problem(P1)

may address
may needto develop
or modify

becomesCompetingsystem(S7)becomescompetes
withmay causeneeds to understand

Deployedsystem(S4)sustainment
system(S6)Problem(P2)collaborates withsustains

Modified context
system(S1')
Collaboratingsystem(S5)

Source:Martin, J., 2004, The Seven Samurai of Systems
Engineering, INCOSE International ConferenceCopyright Prof. Dr. Shuichiro Yamamoto 201613

自転車事故防止システムの7人の侍フレームワークによる分析例
warning
Realization
systemDriverwheatherContext
Road

Cause

Pedestrians

Cars

cause
cause

Dangerous
driving

Problem(P1)Intervention
systemwarning

warningsystems
engineer
external
connector

Dangerous
drive warning

development
processuses
intended to address
Accident
avoidance
controlcause
Accident

uses

Environment
condition
monitor

tools

policies
uses

avoidsDriving situation
monitordrivesfails intoData,
Information
Knowledge,
Wisdomneeds tounderstandbecomes
reduces speed

Bike

Brake

may need to develop or modifymonitors

WheelHandle

monitors

Problem(P2)

Sustainment
systemcollaborates with
Modified
Context

becomes

may cause
Bike Accident
Prevension Device

supportengineer

spare parts

customerhotlinesustains

Copyright Prof. Dr. Shuichiro Yamamoto 201614

発展と変革問題

変革
Revolution
理想世界
解システム

システム方法論

現実世界
既存システム代替
Replace発展
Evolution

差異変更計画参考) Hitchins, Derek, K., Systems Engineering- A 21st Century Systems Methodology, John
Wiley & Sons, Ltd., 2007.
Copyright Prof. Dr. Shuichiro Yamamoto 201615

社会技術的システム
socio-technological system 技術環境を用いて人々がワークフロープロセスを遂行するシステム

人 People
プロセス Process
技術環境 Technology environment参考) Rebovich, G., and Brian, W., Enterprise Systems Engineering – Advances in Theory
and Practice, CRC Press, 2011.
Copyright Prof. Dr. Shuichiro Yamamoto 201616

電気ポットのシステムグラフ – system graph of electric pot
電気ポットシステム
加熱制御ソフトウェア
水量センサ

スイッチ
押下

温度センサ
注水スイッチタンク

給湯サブシステム
ポンプ
給湯ボタン

ヒータ
加熱サブシステム

給湯ボタン
押下

湯Copyright Prof. Dr. Shuichiro Yamamoto 201617

Systems-Theoretic Accident Modeling and Processes

Copyright Prof. Dr. Shuichiro Yamamoto 2016

18

ABACE, Architecture Based Assurance Case Engineering

Copyright Prof. Dr. Shuichiro Yamamoto 201619

アーキテクチャとは An Architecture A = (C, R, P) whereC is a set of components
R is a relation defined on C andP is a property that C and R satisfy

Copyright Prof. Dr. Shuichiro Yamamoto 2016

20

ABACEの手順【手順1】まず、アーキテクチャを構成する3要素である対象システムの構成要素Cと関係Rならびに、対象システムが満たすべき品質特性Pを定義する。
【手順2】次いで、アーキテクチャに基づいて、最上位主張「システムが品質特性を満たす」を作成する。
【手順3】さらに、最上位の主張を、構成要素とその関係に基づいて、2つの下位の主張「構成要素は品質特性を満たす」と「構成要素関係は品質特性を満たす」に分解する。
【手順4】この2つの主張を、それぞれ、構成要素と構成要素関係の実体ごとに下位の主張に分解していく。
【手順5】最終的に、すべての構成要素と構成要素関係の実体が品質特性を満たすという主張に分解されたら、これらの主張が成立する上でのリスクに対策できているという主張に分解する。
【手順6】リスクに対応できているという主張ごとに、それを説明する証拠を作成する。

Copyright Prof. Dr. Shuichiro Yamamoto 201621

STAMPの具体化
System TheoreticAccident Modeling andProcess

STAMP

System Model Driven
Accident Modeling andProcess

SMDAMP

AAMP

Architectural Accident
Modeling and Process

System Graph Accident
Modeling and Process

SGAMP

ArchiMate
AMP

ArchitMate Accident
Modeling and Process

Copyright Prof. Dr. Shuichiro Yamamoto 201622

STAMPと保証ケース
STAMP

O-DA

AAMP

use
used by

Architectural Accident
Modeling and Process

ABACE
developdeveloped byArchitecture

Safetyconstraint

Risk

Assurancecase

O-DA: Open Dependability through Assuredness
Copyright Prof. Dr. Shuichiro Yamamoto 201623

Dependability through Assuredness™ (O-DA) Framework
Open Group Standard, 2013

Copyright Prof. Dr. Shuichiro Yamamoto 201624

O-DA標準の知識体系
用語定義、フレームワーク、ガイドライン、形式手法の位置づけ
O-DA
標準

O-DA適用知識

O-DA 要素知識

高保証ADM（Assured ADM）
アーキテクチャ指向保証ケース開発法（ABACE）
O-DAテンプレート、O-DA適用事例
保証ケースレビュ手法
SPRME（対象、品質特性、リスク、対策、証拠）
形式的ABACE（FABACE)
保証ケース導入準備能力評価指標
TOGAF、ADM(Architecture
Development Method)、ArchiMate、保証ケース、形式手法

Copyright Prof. Dr. Shuichiro Yamamoto 201625

Enterprise Architecture 技術環境を用いて人々がビジネスプロセスを遂行するシステム
BA

Business architecture

IAInformation system architecture

TATechnology architecture

参考) TOGAF®, an Open Group Standard; www.opengroup.org/togaf.
Copyright Prof. Dr. Shuichiro Yamamoto 201626

ArchiMateによるアーキテクチャ品質保証サービス
アーキテクチャ
品質保証サービス

品質評価担当者

ビジネス
アーキテクチャ

アーキテク
チャ評価
依頼

アプリケーション
アーキテクチャ

評価依
頼登録
AP

評価対象
確認

評価対
象確認
AP

アーキテク
チャ・リスク
分析

リスク
分析AP

リスク対
策確認

保証
ケース
作成ツール

保証ケー
ス作成

保証
ケース
エディタ

保証ケー
ス合意

リスク情報

対策情報

テクノロジー
アーキテクチャ

端末

NW

Web
サーバ

AP
サーバ

Copyright Prof. Dr. Shuichiro Yamamoto 2016

DB
サーバ

27

高保証アーキテクチャ Assured Architecture 指定された保証すべき性質が実現されているアーキテ

クチャを高保証アーキテクチャ（Assured Architecture）という．
 保証（Assurance）
 アーキテクチャが高保証性を持つことを確認すること
 保証ケース（Assurance case）
 保証するための議論構造を記録する成果物
Copyright Prof. Dr. Shuichiro Yamamoto 2016

28

TOGAF ADMフェーズ
初期フェーズアーキテクチャ作成依頼
アーキテクチャ
ビジョン
ビジネスシナリオ
変革即応性評価
ビジネス要件・制約

アーキテクチャ策定作業計画
ビジネスアーキテクチャ

ABB

情報システムアーキテクチャ

SBB

リスク管理
要件管理
アーキテクチャ要件仕様
アーキテクチャ定義文書

アーキテクチャ
作成依頼

トランジション
アーキテクチャ

テクノロジ
アーキテクチャ
機会とソリュー
ション

移行プランニング
ケイパビリティベー
スプランニング
移行計画
実装ガバナンス
コスト分析
ビジネス価値割当
アーキテクチャ アーキテクチャコントラクト
変更管理
アーキテクチャ準拠性
再利用BB
モニタリング
ビジネス価値最大化
ABB: Architecture Building Block
SBB: Solution Building Block
Copyright Prof. Dr. Shuichiro Yamamoto 201629

高信頼ADMの概要
工程

AADM①アーキテクチャリポジトリでの証拠文書と保証ケースの格納②ディペンダビリティ委員会での主張間の優先順位の合意

P.準備
A.アーキテクチャビジョン

①ディペンダビリティスコープ定義 ②主張の定量評価尺度定義③保証ケース能力評価 ④ディペンダビリティパラメタ定義

B.ビジネスアーキテクチャ①ディペンダビリティ原則定義 ②BA保証ケース作成③BA保証ケースレビュ

C.情報システムアーキテクチャ
D.技術アーキテクチャ
E.機会とソリューション

①IA保証ケース作成 ②IA保証ケースレビュ①TA保証ケース作成 ②TA保証ケースレビュ①BA, IA, TA保証ケースを統合 ②一貫性を確認

F.移行計画①運用管理の保証ケース作成②ディペンダビリティパラメタ価値分析

G.実装ガバナンス①保証ケースの証拠を作成 ②プロセス保証ケースの証拠を作成③網羅的に主張と証拠の関係を確認④運用に対する保証ケースをレビュ

H.アーキテクチャ変更管理①運用保証ケースの証拠を管理 ②主張の不成立への対応策の確認③保証ケースによるリスク管理 ④保証ケースによる障害分析

R.要求管理保証ケースの主張と要求の追跡管理

Ref. Open Group Standard, Real-Time and Embedded Systems:, Dependability through Assuredness™ (O-DA) Framework, 2013

Copyright Prof. Dr. Shuichiro Yamamoto 201630

AADM に対するO-DA適用法
凡例：■提案済み ■提案予定O-DA適用法

AADMの活動■システム論的事故分析保証手法①システムグラフを用いた障害分析と保証ケース作成■証拠作成法①保証ケースの証拠を形式手法で作成 (FABACE)②プロセス保証ケースの証拠を作成■アーキテクチャ・リポジトリ①アーキテクチャリポジトリでの証拠文書と保証ケースの格納②保証ケースの主張と要求の追跡管理③保証ケースの証拠を管理■リポジトリ活用法①網羅的に主張と証拠の関係を確認 ②主張の不成立への対応策の確
認 ③保証ケースによるリスク管理■主張間の優先順位①ディペンダビリティ委員会での主張間の優先順位の合意②主張の定量評価尺度定義 ③ディペンダビリティパラメタ定義④ディペンダビリティパラメタ価値分析■スコープ定義①ディペンダビリティスコープ定義②ディペンダビリティ原則定義■アーキテクチャ指向保証ケース作成法
ABACE①BA保証ケース作成②IA保証ケース作成 ③TA保証ケース作成 ④
BA, IA, TA保証ケースを統合⑤運用管理の保証ケース作成⑥一貫性を確認■保証ケースレビュ手法①BA保証ケースレビュ ②IA保証ケースレビュ ③TA保証ケースレビュ④運用に対する保証ケースをレビュ■保証ケース導入能力評価指標①保証ケース能力評価Copyright Prof. Dr. Shuichiro Yamamoto 201631

FABACE = Formal Evidence + ABACE 検証すべき形式的証拠（TBV, To Be Verified）の分類
分類
TBV1
TBV2
TBV 3
TBV 4

検証内容
コンポーネントの入出力の関係
コンポーネントの事前条件と事後条件の関係
コンポーネント間の相互作用の正当性
コンポーネント間の一貫性

形式手法の例： B, Event-B, VDM, SPIN, UPAAL
Copyright Prof. Dr. Shuichiro Yamamoto 201632

 システム理論
 STAMP 保証ケース アーキテクチャ指向保証ケース開発法
 O-DA

Copyright Prof. Dr. Shuichiro Yamamoto 201633

STAMPの境界

Boundary of STAMP
Process boundary プロセスの品質保証
AM boundary
事故モデルの構造

STAMP
STAMP -X
ST boundary
多様なシステム理論への展開
Copyright Prof. Dr. Shuichiro Yamamoto 2016

34

付録

現代エンタープライズ・アーキテクチャ概論- ArchiMate入門
本書では,エンタープライズ・アーキテクチャのモデリングと,その高信頼性を保証するための基本的な知識を踏まえて、日本から提案したO-DA(OpenDependability Through Assuredness )標準とその具体的な適用事例についても解説している.

Copyright Prof. Dr. Shuichiro Yamamoto 2016

35

付録

保証ケース作成支援方式の研究成果
http://de-science.icts.nagoya-u.ac.jp/download.html

 保証ケース統合作成支援ツール 教材[保証ケースレビュ手法] 教材[統一的保証ケース]
 保証ケース導入能力評価指標

本研究は，独立行政法人情報処理推進機構 技術本部 ソフトウェア高信頼化センター（SEC: Software Reliability Enhancement Center）が実施した「2015 年度ソフトウェア工学分野の先導的研究支援事業」の支援を受けたものです．
Copyright Prof. Dr. Shuichiro Yamamoto 201636