安全性解析技法を用いた
鉄道障害事故の分析
千葉工業大学

社会システム科学部 プロジェクトマネジメント学科
小笠原秀人、瀬戸口大空

目次
1. 目的
2. 事故の原因
3. STAMP/STPA
4. 分析結果
5. 考察

2

1. 目的• STAMP/STPAはよく知られている• 何度か説明は聞いたが、よく分からないという印象• 実際に使えるのか、使うのは難しいのか？
• 試してみないことには始まらない• よく話題に出てくる鉄道事故がある• 金沢シーサイドライン新杉田駅構内で発生した
鉄道人身障害事故を対象にする
3

金沢シーサイドライン鉄道人身障害事故• 2019年6月1日20時頃発生• 当該列車は新杉田発並木中央行
2009B列車• 新杉田駅を20:15に出発予定• 出発後、進行方向と逆方向に発車→ 車止めに衝突• 乗客25名中、17名が負傷

https://news.ntv.co.jp/category/society/825366

事故事例分析の目的• STAMP/STPAでこの事故を事前に識別できる可能性はあったのか？
• この事故以外に事故につながるシナリオは検出できるのか？

4

2. 事故の原因（参考文献[2]P38～43）• 駅ATO（Automatic Train Operation：自動列車運転装置）地上装置は車両への進行方向指令と車両からの進行方向状態が下りで一致したと判断した。
• モーター制御装置は、進行方向をメモリ機能が維持していた上り方向にモーターを駆動するようになっていたことから、本件列車の進行方向と逆である上り方向にモーターを起動した。

• ATC（Automatic Train Control：自動列車制御装置）車上装置にある後退検知機能や他の手法により異常走行を検知せず、列車が車止めに衝突するまでブレーキが動作しなかった。

参考文献[2]から引用

5

3. STAMP/STPA• マサチューセッツ工科大学（MIT）のNancy G.Leveson 教授が提唱• アクシデントモデルSTAMP（Systems-Theoretic Accident Model andProcess：システム理論に基づくアクシデントモデル）• 現代のシステムのアクシデントの多くは、システムの中で安全のための制御を行う要素（コントローラー）と制御される要素（被コントロールプロセス）の相互作用が働かないことが原因• これを作成することで、制御主体と制御対象の間で行われる制御を明確化し、STPA分析において理解しやすいイメージを共有することができる• 安全解析手法STPA（STAMP based Process Analysis）• STAMPを前提として、システムのハザード要因を分析する新しい安全解析手法
6

STAMPにおける相互作用モデル

参考文献[2]から引用• アクシデントは、相互作用が適切に働かないことによって起こる• 具体的にはコントローラーから被コントロールプロセスへの必要な制御指示（コントロールアクション）が適切に与えられないために起こる• そして、不適切なコントロールアクションが与えられる要因として、コントローラー自身が想定する被コントロールプロセスの状態（これをプロセスモデルという）が、実際の被コントロールプロセスの状態を正しく反映できていないことが主要な要因である

7

STAMP/STPAの手順
STAMPモデル
作成

STPA
（分析）

Step0
（準備1）

アクシデント、ハザード、安全制約の識別

Step0
（準備2）

コントロールストラクチャーの構築

Step1

非安全なコントロールアクションの抽出

Step2ハザード要因の特定
8

4. 分析結果
アクシデント、ハザード、安全制約の識別
アクシデント
ハザード
安全制約（Loss）（Hazard）（Safety Constraints）(A1)列車が予期せぬ方 (H1)指令線が正しく加圧されてい (SC1)指令線は正しく加圧されなけ
向へ発車する
ない
ればならない(A1)列車が予期せぬ方 (H2)進行方向指令を正常に受信で (SC2)進行方向指令は正常に送受信
向へ発車する
きていない
できていなければならない
列車が自走不能になる モーターやコンプレッサー等、走 仕業前に列車検査を行い、走行機器行機器が故障するが正常に動作することを確認する
列車が発車できない
乗客の乗降に時間がかかっている 乗客は、定められた停車時間内に乗降を行う
列車が発車できない
悪天候による線路状態の悪化
気象条件に基準を設け、基準を守れない場合は列車の運行を停止する
列車折り返し時に使用されるシステムのエラーを対象としているため、保安装置以外の走行機器の故障に関するアクシ
デントや、気象条件が直接要因となるアクシデントは分析の対象外とし、対象をA1「列車が予期せぬ方向へ発車する」に関連するH1・SC1 、SC1、H2・SC2とした。

9

構築したコントロールストラクチャ

10非安全なコントロールアクション（UCA：Unsafe Control Action）の抽出結果与えられるとハザード

早すぎ、遅すぎ、誤順序でハザード

早すぎる停止、長すぎる運用でハザード

コントロールアクション

与えられないとハザード

1

進行方向指令を送信する

列車の進行方向が変化せず、モーター制御情報の受信が早すぎると、列車の進路が未開通
装置の進行方向が切り替わらないが、列車 （UCA2）出発時刻でないのに指指令の長さは影響しないため、特にのまま出発準備が進むが、列車の出発指示が出は出発指令が出るまでは出発できないため、重大な問題は発生しない令を送信する（SC2に違反）
るまでは出発できないため、列車は暴走しない
暴走しない

2

先頭車両情報を送信する

先頭車両の設定ができない

3

ATC/TD用の車上アンテナの信号が正常に ATC/TD用の車上アンテナの信号 遅すぎる場合、ATC/TD用の車上アンテナの信号使用する運転台情報を送指令の長さは影響しないため、特に切り替わらず、発車後の速度照査ができな が反対側の先頭車両に切り替わる が切り替わらず、発車後の速度照査ができない
信する
重大な問題は発生しない
いため、発車できない（＝切り替わっていない）
ため、発車できない

4（UCA4）194G線を加圧していな
194G 線の加圧状態を、駅 駅ATO地上装置へ進行方向状態を送信でき い状態のまま、加圧したとみなし 遅すぎる場合、駅ATO地上装置が出発指令を送 指令の長さは影響しないため、特にATO車上装置へ送信する ないて加圧状態を駅ATO車上装置に送 信できないため、列車が出発できない
重大な問題は発生しない信する（SC1に違反）

5（UCA1）モーター制御装置の進行方向メ列車の進行方向情報を送 モリ機能に記憶されている進行方向情報が正常に進行方向が切り替えられる
変わらず、車止め方向へ発車する（SC1に信する
違反）

6（UCA5）194G線が加圧されてい進行方向の照合が出来ず、駅ATO地上装置
進行 方向 状態 を、 駅ATOない状態のまま、加圧したとみな 遅すぎる場合、駅ATO地上装置が出発指令を送 指令の長さは影響しないため、特にが出発指令を送信できないため、列車が出地上装置へ送信する
して進行方向状態を駅ATO地上装 信できないため、列車が出発できない
重大な問題は発生しない
発できない
置へ送信する（SC2に違反）

7

出発指令

列車が出発できない

正常に指令が出される

早すぎる場合、車両の側扉及び可動式ホーム柵 指令の長さは影響しないため、特にが閉状態にならないまま走行する
重大な問題は発生しない

8

力行指令

力行することが出来ず、発車することが出正常に指令が出される
来ない

早すぎる場合、車両の側扉及び可動式ホーム柵 極端に長く指令が出ると、列車は減が閉状態にならないまま走行する
速せず、暴走する（UCA3）反対側の先頭車両を先情報の受信が遅すぎると、列車遅延に繋がる頭車両に設定する（SC2に違反）

指令の長さは影響しないため、特に重大な問題は発生しない（UCA1）遅すぎる場合、モーター制御装置の進行方向メモリ機能に記憶されている進行方向情 指令の長さは影響しないため、特に報が切り替わらないまま発車する、後退検知機 重大な問題は発生しない能も正常に動作しない（SC1に違反）

ハザード要因（HCF：Hazard Causal Factor）の特定（1/2）④ コンポーネントの故障・ 経年変化（全コンポーネントに共通）① コントロール入力や外部 情報の誤りや喪失⑤不適せきなフィードバック、あるはフィードバックの喪失、フィードバックの遅れ

今回使用するHCFを特定するためのガイドワード② 動作の遅れ③ コントロールアクションが不適切・無効・欠落② 動作の遅れ③ コントロールアクションが 不適切・無効・欠落① コントロール入力や外部情報の誤りや喪失② 動作の遅れ③ コントロールアクションが不適切・無効・欠落④ コンポーネントの故障・経年変化⑤ 不適切なフィードバック、あるいはフィードバックの喪失、フィードバックの遅れ

12ハザード要因（HCF：Hazard Causal Factor）の特定（1/2）③コントロールアク①コントロール入力や②動作の遅れ ションが不適切・無外部情報の誤りや喪失
効・欠落（UCA3）反対側の先頭車両を先頭車両に設定する（SC2に違反）（UCA4）194G線を加圧していない状態のまま、加圧したとみなして加圧状態を駅ATO車上装置に送信する（SC1に違反）（UCA5）194G線が加圧されていない状態のまま、加圧したとみなして進行方向状態を駅ATO地上装置へ送信する（SC2に違反）⑤不適切なフィードバック、あるいはフィードバックの喪失、フィードバックの遅れ

F線の断線による進行方向切り替えの失敗と、メモリ機能による進行方向の記憶で逆走が発生（UCA1）モーター制御装置にお 駅ATO地上装置と駅F線の加圧がける進行方向のメモリ機能の進行 ATO車上装置の間にお間に合わな方向が切り替わらないまま発車す ける進行方向指令の送いる（SC1に違反）
受信が上手くいかない（UCA2）出発時刻でないのに指令を送信する（SC2に違反）④コンポーネントの故障・経年変化

13

駅ATO地上装置の故所定の時間前に出発指障によるデータ誤送示を誤送信
信加圧する指令線が不適切であるために、予定とは反対側の先頭車両を先頭車両として設定する

194G線の加圧情報が正常に伝達できていない
194G線の加圧情報が正常に伝達できていない

UCAに至るハザードシナリオと解決策の例

14

UCA1の内容と安全制約の違反内容（UCA1）モーター制御装置の進行方向メモリ機能に記憶されている進行方向情報が変わらず、車止め方向へ発車する（UCA1）遅すぎる場合、モーター制御装置の進行方向メモリ機能に記憶されている進行方向 情報が切り替わらないまま発車する、後退検知機能も正常に動作しない
上記2つは、安全制約1「指令線は正しく加圧されていなければならない」に違反

シナリオ④コンポーネントの故障・経年変化

F線の断線による列車の進行方向の切替に失敗する
対策

シナリオの発生個所

対象：モーター制御装置

進行方向の切替確認のため、当装置と駅ATO車上装置の間で進行方向の照合を行う
一致しない場合

一致する場合列車の運行を抑止（保護動作）

駅ATO地上装置へ進行方向状態を送信対策案のイメージ分析結果のまとめ
Step

実施内容
前提条件の整理0(準備1)
0(準備2)

アクシデント、ハザー
ド、安全制約の識別
コントロールストラク
チャーの構築1

UCAの抽出2

HCFの特定（シナリオ作成）と対策の検討

15
インプット

アウトプット

抽出数／特定数・システムの流れを把握できる資料システムの流れを把握できる資料
アクシデント、ハザード、安全制約
コントロールストラ
クチャー

アクシデント数：2

UCA

UCA：6

HCF

シナリオ：9
対策案：10・仕様書他

・システムの流れを把握できる資料
・安全制約
・システムの流れを把握できる資料
・安全制約
・用意されたガイドワード
・UCA
・用意されたガイドワード

事故事例分析の目的• STAMP/STPAでこの事故を事前に識別できる可能性はあったのか？
→ 安全制約（SC1、SC2）に違反するUCA（非安全制御動作）を特定できた• この事故以外に事故につながるシナリオは検出できるのか？
→ 「出発事項ではないのに指令を送信する」「反対側の先頭車両を先頭車両に設定する」
に関するシナリオを検出できた

5. 考察• 分析結果の確からしさ• 今回の分析は、文献[2]を読んだうえで実施• ハザードの粒度などが細かくなり、結果ありきの分析になっている可能性は否めない• しかしながら、STAMP/STPAのステップで分析した結果から、今回の事故を事前に識別できる可能性は確認できた• 手法適用に際して• 対象となるシステムの流れや動作環境などを理解する必要あり• 高度な専門性を有するシステムであるほど、UCAの適切な抽出やハザード対策案の練り込みが難しい• 凝り固まった考えを排除する仕組みや仕掛けが必要• アクシデントやハザード、安全制約の識別において、「発想」の作業が現場の経験や発想力に頼ってしまう傾向がある

16

• 設計に関する情報（文献[2] 2.9節）• 設計・製造プロセスや実施した設計作業などが示されている• 従来の安全性解析技法（ミニデザインレビューなど）も活用され、さまざまな関係者間で検討され審査されていることが分かる• 一方で、車両メーカーは、「各装置の機能や装置間のやり取り全てについては把握することは難しい」、「制御装置などの極めて専門性が高いものについては、装置メーカーの企業秘密として開示されないところもあり、近年のエレクトロニクス化の進展に伴い、その範囲は拡大傾向にある」と述べている• どのように立ち向かえばよいのか？

• 今回の開発では、事業者と車両メーカー、車両メーカーと装置メーカー（複数）間で認識の齟齬があった• 当たり前だが、関係者間での齟齬をなくすことが必要• 相互作用が複雑なシステムに対する既存の安全解析手法とSTAMP/STPAなどの新しい安全解析手法の融合を考える
17

参考文献
[1] システム安全性解析手法WG, はじめてのSTAMP/STPA ～システム思考に基づく新しい安全性解析手法～, 情報処理推進機構（IPA）, 2016.
[2] 運輸安全委員会, “鉄道事故調査報告書”,
https://www.mlit.go.jp/jtsb/railway/rep-acci/RA2021-1-1.pdf,
2021.

18