第5回AI/IoTシステム安全性シンポジウム
Asian STAMP Workshop
2023/12/1 @ 国立情報学研究所

自動運航システムの設計・検証のためのSTPAの活用事例紹介
Introduction of Examples Using STPA in Design and Verification of Autonomous Navigation System

中島 拓也1 暮田留依2
1 東京大学 大学院新領域創成科学研究科
2 株式会社MTI

目次
1. 背景
•

海運における課題•

MEGURI2040プロジェクトにおける自動運航船開発と実証•

自動運航船に対するコンセプト開発と安全性

2. モデルを活用したコンセプト設計とSTAMP/STPAの導入
3. STAMP/STPAの実践•

自動運航船システムへのSTPA適用事例（先行研究）•

STPA実施のポイント

•

分析の流れ

4. STAMP/STPA結果の検証・妥当性評価シナリオとしての活用•

記述モデルと数値モデルを組み合わせたシナリオベース検証フレームワークの提案

5. まとめ

2

目次
1. 背景
•

海運における課題•

MEGURI2040プロジェクトにおける自動運航船開発と実証•

自動運航船に対するコンセプト開発と安全性

2. モデルを活用したコンセプト設計とSTAMP/STPAの導入
3. STAMP/STPAの実践•

自動運航船システムへのSTPA適用事例（先行研究）•

STPA実施のポイント

•

分析の流れ

4. STAMP/STPA結果の検証・妥当性評価シナリオとしての活用•

記述モデルと数値モデルを組み合わせたシナリオベース検証フレームワークの提案

5. まとめ3

1. 背景海運業界をとりまく状況• 社会インフラとしての役割：世界の約80%，日本の99.6%の貿易量を負担• ステークホルダー◼ 船の使い手：船主，管理会社，etc.
◼ 船や搭載機器，機能の供給者：造船所，舶用機器メーカー，etc.
◼ 認証・評価機関：各省庁，船級協会，研究所，etc.

• 課題：船の受注競争，船員不足，交通量増加に伴う操船難易度上昇，離島航路の維持 等々．．．
→ 「安全に使える船を安定的に作って動かせる体制」の必要性

海難事故の要因（国土交通省，2020）

世界の新造船建造量の推移（国土交通省 海事レポート2020）4

日本の海事産業（日本海事センター SHIPPING NOW2019-2020）

1. 背景（内航）海運の課題と自動運航船• 内航海運◼ 慢性的な船員不足の一方，
モーダルシフトといった輸送量維持/向上の要請◼ 増大する交通量：操船の困難度も上昇の一方

物流革新緊急パッケージ• 自動運航船による，人手に依存しない安全の可能性◼ 要素技術の進歩による，操船タスクの自律化の実現性◼ ヒューマンファクターの補完による安全性向上◼ 例）画像認識による物標・他船認識，避航航路提案

画像認識による他船検知・見張りシステムの例（ORCA AI）

5

自動運航船のベネフィット Kim et al. (2022)

1. 背景日本財団 無人運航船プロジェクト「MEGURI2040」•

世界に先駆けて内航船の無人運航の実証試験を成功（〜2022/03）•

社会実装に向けたPhase2がスタート（2022/10〜）
Phase1の実証実験 (2022)

日本財団 MEGURI2040

内航コンテナ船「すざく」（無人運航実証船 @ DFFASプロジェクト）

6

Phase2の実証実験 (-2026/03；予定）1. 背景自動運航船（システム）の特徴：自動運転との比較，実装に向けた課題
自動運航

自動運転

対象タスク

•

見張り，操船，機器の保守，離着桟等を複数の人間が分担して担当しており，対象タスク・度合が多様•

基本的には，1人の運転手の運転タスク（Dynamic Driving
Task: DDT）のみを扱う

稼働場所

•
•

長期間海上での連続航行
運転者の交代，機器の頻繁な交換等が難しい（一部不具合がある状態での運航頻度も高い）•

陸上かつ断続的稼働のため比較的保守・点検しやすい

操縦性能

•

大型船の場合は特に急停止，急旋回が困難•

ある程度急停止，急旋回が可能

環境影響

•

波や潮流によりその性能が大きく変化（浅水域・実海域）•

路面の状況により性能は変化も比較的予測しやすい

交通ルール

•

自由度が比較的高い（→遭遇シナリオが多種多様，“正解”の定義が困難）•

道路や信号等，移動可能範囲などの制約が多い↔ 交通ルールは比較的明確

障害物•

漁業者や漁網の存在•

バイクや自転車，歩行者の存在

自律化
ターゲット

•
•

内航船員28,000人，邦人外航船員2,000人
基本的にはBtoB••

運転免許保有者数8199万人（2021年）
大半はBtoC，街づくり・生活等への派生影響

自律レベル

•

遠隔化も含めて，定義が乱立•

SAE J3016のレベルが広く普及•“自動運航船/システム” の定義やスコープ：統一的/包括的な基準は策定途上（IMO MASS Codeなど）•

個別のセンサ（GPS，レーダなど）や制御機器（オートパイロット）といった個別機能の性能標準は既に存在◼ 有人/既存船における運航タスクを部分的に担うモジュールは既に商用化，市場が成立◼ 自動運航システム/船の構築：既存技術も取り込んだシステムインテグレーション
7

1. 背景自動運航船（システム）の開発• MEGURI2040のターゲット： 操船タスクに関する，製品化/社会実装に対応した自動運航船の開発
乗組員

現状の運航方式

乗組員

機械

完全自律船フレームワーク

機械

機械

APExS-auto

情報収集

陸上支援 / 本船上要員

分析

センサ（+情報統合）
GPS，レーダ，カメラなど

計画

承認

周辺状況（他船，地形）分析→ 避航ルート策定

機械

システム状態（ODD）/意図に応じた人間の介入/自律運航継続可否判定（→本船上の要員によるFallback）

実行
自動操舵
オートパイロットなど• システムを構成する機器，機能群の開発・統合 ：V-Process◼ ユーザー（船主，管理会社）が意図する船/自動運航システムの運用：
Concept of Operations（ConOps）のもと，◼ 複数の舶用機器メーカーが機能開発を行い，◼ システムインテグレーターが系全体を統合し，◼ 岸壁・洋上での検査 → 就航

提案されたルートに沿って航行中の例（古野電気：Action Planning Unit）• 統合対象の機能群がなす機能フロー：

制御指示 / フィードバック のループを孕む一方，モジュールの開発/供給は（ほぼ）タスク粒度 で実施
8

1. 背景安全性の担保に向けた課題• 自動運航船: ステークホルダーと 機能両面で複雑システムとしての性質• 安全性の証明/実証：複雑システムの持つ「想定外」の挙動をいかに削減するか◼ 複雑さ：要素毎の属性からシステム全体の属性を予測する困難さの度合 (Weaver, 1948)◼ 船舶の場合，（本船搭載・洋上試験の）前工程ではシミュレーション・リスクアセスメントの実施が肝• 代替設計：従来技術と同等の安全性（equivalent safety）が求められる (MSC Circ.1455)• コンセプト，概念設計としてのシステムモデル構築 とリスクアセスメント→ システミックリスクの明確化：包括的な安全要求 と テストシナリオの段階的 / 網羅的な定義・検証
自動運転のFailure Rateの見積に必要な走行量
Karla and Paddock（2016）

安全性・信頼性を実証するための走り込み：
88億マイル＝400年必要（100倍速でシミュレーション）
ISO21448 SOTIFの考え方 Schwalb, E. (2019)9

1. 背景本研究開発の目的• 自動運航船 / システムの構築：ユーザー要求を起点としたシステムインテグレーションにおける◼ V-Processにおける意思決定：設計 / 検証 / 妥当性評価 で活用可能なシステムモデル群の抽出◼ 機能・安全要求の整備：人の段階的な介入を前提とした要件の定義や検証の目線• 同等安全性証明のためのリスクアセスメント：網羅的/包括的なシステミックリスク抽出への試み◼ Control Structure以外のモデルも組み合わせ，ガイドワードや定量評価のありかたを整備◆ プロセスモデルの齟齬への着目：input/output/algorithmおよびassumptionに基づく発想◆ Contextや，HCF，およびそのBarrierに関してもガイドワードでパターン化◼ シナリオベース検証に繋げるためのテストシナリオ検討手法の実践◆ シミュレータを活用したMIL/SIL/HILテストや統計的手法への対応

11

目次
1. 背景
•

海運における課題•

MEGURI2040プロジェクトにおける自動運航船開発と実証•

自動運航船に対するコンセプト開発と安全性

2. モデルを活用したコンセプト設計とSTAMP/STPAの導入
3. STAMP/STPAの実践•

自動運航船システムへのSTPA適用事例（先行研究）•

STPA実施のポイント

•

分析の流れ

4. STAMP/STPA結果の検証・妥当性評価シナリオとしての活用•

記述モデルと数値モデルを組み合わせたシナリオベース検証フレームワークの提案

5. まとめ13

2.モデルを活用したコンセプト設計とSTAMP/STPAの導入対象とするシステム：概略• スコープ◼ 自律レベル: AL-4相当，自律運航機能のODD設定とシステム状態に応じた人間による介入◼ 離桟〜着桟における状況認識 → 状況分析 & 意思決定 → 実行 をシームレスに網羅◼ 陸上（FOC: Fleet Operation Center）での計画策定支援・機関システム監視• ゴール◼ 安全性: 当直負荷を軽減しつつ，自動運航システムを搭載した船舶による運航の安全性担保◼ 2025年時点における商用技術，法律，etc. の想定される状況を加味した実現性
陸上支援：
港間の計画策定（≠ 遠隔操船）
Communication:
船陸通信

CIM:
システムの状態管理

Propulsion:
船の推進力・電力管理

有人自律

人間＋高度支援（計画策定含む）

完全自律

Maneuvering:
状況認識・計画策定・
操船制御実行

AL4: 本船上での介入あり
AL5: 本船上での介入なし

ロイド船級協会による自律運航レベルの定義

14

ステータス判定結果
and/or 意図による介入

自動運航船のシステム概略，ユースケース

2.モデルを活用したコンセプト設計とSTAMP/STPAの導入

システム開発のアプローチ：ConOps，概念設計，リスクアセスメント• Concept of Operations（ConOps）とコンセプト設計◼ ユーザー（船主/管理会社）の目線で自動運航システムに対する最上位の要求を記述◼ 概念設計：ConOpsと対になる形で，開発目線でのシステムのあり様を表現（機能要求，サブシステム区分と責務，系全体/機能モジュールのふるまい，etc.）• リスクアセスメント：ロスシナリオ/テストシナリオや安全要求の抽出◼ 概念設計段階においてSTAMP/STPAを活用しつつ，具体的な実証機器構成に対するFMEAを実施

開発フローのイメージ （Takuya Nakashima et al 2022）

15

2.モデルを活用したコンセプト設計とSTAMP/STPAの導入

自動運航システムの特徴：ODDとシステムステータス• 自動運航システムにおけるステータス: 人間によるタスクへの介入の必要度合い◼ Fully Autonomous (FA) : 人間の介入を必要としない完全自律状態（AL4相当）◼ Monitoring with Mind ON (MM)：人間による介入準備が必要な状態（ふるまいはFA同等）◼ Monitoring with Approval (MA)：周囲環境悪化などの要因により，避航計画に対する承認が必要な状態（AL3相当）• システムを特徴づけるODDの評価軸◼ Environmental ODD：自然環境要因による，本船の運動モデルを考慮した制御継続可能性判断
自動運航船で考えられるODD評価軸（抜粋）
Category

Subcategory

DetailScenary

Geography

地形

Offshore Structure

海上構造物

Navigational Area

運航海域（要求ルールとの対応）

Temporaral Area Specifics

航行警報・水路通報 (for Temporal Rule)

Other ships (and type)

各船の動的・静的情報

Obstacles

流氷，海洋生物，魚網，漂流物

Own ship

制御状態，自船状態

Support of Own ship

海上/陸上支援の有無・状態

Weather and Illumination (Impact on Sensing)

昼夜（Night, Day, Dusk），視界・視程，天候

Weather (Impact on Actuation)

風向・風速，波高・波向・波周期，潮流流速・龍向Connectivity

船陸通信状態Dynamic Elements

Environmental Condition

Environmental ODD状態の表示例（古野電気：Action Planning Unit）
本船状態 と 環境条件から制御可能性を表現→ 人間により行われてきた判断の補完• ODD（など）に起因するシステムの振る舞いを実船（のみ）で全て検証/評価するのは困難→ シミュレーションベースの検証にも対応可能なシステムモデルとテストシナリオの必要性
17

2.モデルを活用したコンセプト設計とSTAMP/STPAの導入

自律運航のシステムモデル：分析対象の定義• 概念設計：ConOpsから誘導されるスコープに対し，機能モジュールを想定したシステムモデル◼ サブシステム構成：Maneuvering / CIM/ Propulsion / Communication◼ 認知（センサ），状況分析 & 計画（航路/船速/etc.）策定，制御実行 タスクと相互作用を加味したモデル• STAMP/STPAの問題設定と対象◼ システムモデルをコントロールストラクチャに抽出しつつ，ユースケースを反映したふるまいのモデルも参照◼ 安全制約：「船として危険な状態に至らない」= 本船上要員によるフォールバックも含めた安全担保

システムモデルの例：CIM / Maneuvering間シーケンス

自動運航システムの安全制約と基本機能要求

18

目次
1. 背景
•

海運における課題•

MEGURI2040プロジェクトにおける自動運航船開発と実証•

自動運航船に対するコンセプト開発と安全性

2. モデルを活用したコンセプト設計とSTAMP/STPAの導入
3. STAMP/STPAの実践•

自動運航船システムへのSTPA適用事例（先行研究）•

STPA実施のポイント

•

分析の流れ

4. STAMP/STPA結果の検証・妥当性評価シナリオとしての活用•

記述モデルと数値モデルを組み合わせたシナリオベース検証フレームワークの提案

5. まとめ19

3.STAMP/STPAの実践

今回のシステムの特徴（STPAで着目しておくべきポイント）• 階層的なコントローラ間のイン
タラクション• 船陸間の役割分担（長期的・短期的判断）• 同一レイヤのコントローラ間のインタラクション（人と機械）• コントローラのコントロール（複数の自律化レベルのダイナ
ミックな変化）船陸間の役割分担（長期的・短期的判断）

通信環境（船陸間）

階層的なコントローラ間のインタラクションコントローラのコントロール（複数の自律化
レベルのダイナ
ミックな変化）• コントローラのための機関からのエネルギーの提供（時間）• 運動の不確実性，制御のレイテ
ンシ，気象海象，他船等様々な遭遇状況• 通信環境（船陸間）

同一レイヤのコントローラ
間のインタラクション（人と機械）

等機関からのエネル
ギーの提供（時間）運動の不確実性，制御のレイテンシ，気象海象，他船等様々な遭遇状況

20

Control Structure of the target system

3.STAMP/STPAの実践

Literature Review (自動運航船システム×STPAの例）
文献

概要（対象システム，SC/UCA/HCFの例）

手法の特徴と限界

Wróbel et al.,2018 (RESS)STPAを用いた自動運航船の分析．ステークホルダや，陸上コントロール施設，通信インフラ，バーチャルキャプテンなどを想定．一方，コンソールなどもモデルに含め，すべてのインプット・アウト
プット信号を分析．あわせて，手法に関連する不確実性を評価する方法紹介．管理可能な不確実性によって影響を受ける可能性があることが示された．

人の段階的な関与，Dynamic Safety Managementという観点での分析が足りていない．What ifに近い（Control Functionを区切ってSTPAを実施している）．Control Structureの構成要素の粒度のばらつきあり．Virtual Captainが，すべての船内機器と手順を制
御および調整する AI コンピュータという仮定．

ValdezBanda et al.,2019

自動運航船の設計のために，首尾一貫した透明で追跡可能な安全入力情報を提供する初期のハザード分
析と管理のためのプロセスを提案．HazardからMitigation Action (Safety Control) を抽出したうえで，
STPAはそのSafety Controlを担保するための4つのGWとして利用．

STPAといいつつも，4つのガイドワードを用いて個別の制御信号による不具合を分析している．

Chaal et al.,2020

STPA コントロールストラクチャを構築．フレームワークの適用により，船員から提供された情報は，自律型船舶の初期の機能説明を作成する上で不可欠であることが示された．さらに、その結果、自律船の技術的側面に加えて、これらの船を現在の海上運用の組織的管理構造に導入することは，設計の初期段階で対処する必要がある課題をもたらすことも明らかになった．

分析の前段としてのControl Structureのみ．船舶よりも広い概念
で，規制など組織的なものも含めて記載している．
一方，人と機械のやり取りの部分は解析されていない．

Chaal et al.,2022

System Theoretic Process Analysis (STPA) を使用し、システムリスクを推定するフレームワークには
自動運航船の分析ではなく自律海水冷却システム．
ベイジアン ネットワークが使用．STPA と BN を統合すると，特定された RCO の優先順位付けが可能に． ベイジアンネットワークでRisk Control Optionの優先順位付けが提案された方法は，例示的なケーススタディとして自律海水冷却システム（SWC）の概念に適用．
可能になる．

Rokseth etal., 2018

STPAを採用して、検証目標と関連する危険なシナリオを生成．これらは範囲を指定または拡張し、検証アクティビティの受け入れ基準を提供し、さらにテスト ケース生成への入力として機能する可能性．
ハードウェア、ソフトウェア、および人間のオペレーターの間の相互作用の問題．シナリオの優先順位
付けが課題（V&Vの観点，ロスの観点）．

V&Vに繋げるという観点ではKhastgir et al., 2021と非常に近い．
Process variablesを定義しているが，ややContext寄りでProcess
Modelそのものにはアプローチしていない．
ただし，自動運航システムではなくDPに対してのもの．

Wróbel et al.,2018 (OE)

STPAを用いた遠隔運航船の分析．ステークホルダや，陸上コントロール施設，通信インフラ，バーチャルキャプテンなどを想定．一方，コンソールなどを定義し，すべての信号を分析．

Wróbel et al., 2018 (RESS)の手法で前提を変更したもの．一連のロ
スシナリオについては検討していない．人と機械とのやり取りや，
時系列的な意思決定の差分を考慮していない．

• STPAガイドワードを用いたハザード抽出（ロスシナリオとしてまとめている事例は少ない）•

対策が冗長・膨大となり設計にFBしづらい，検証シナリオの構築につなげづらい，システミックリスク抽出漏れ？

• 長期航海計画・短期航海計画等のコントロールの輻輳や，段階的な自律ステータスの変化は未分析• 実効的にシステムを建造・検証していく観点で，対象システムの想定がやや非現実的なものがある
21

3.STAMP/STPAの実践

今回のSTPAのポイント• 分析対象• Human-Machineの役割の段階的推移，航行モードの推移も含めて分析• 長期・中期・短期のコントロール，船陸の役割分担にも注目• 手法• プロセスモデルの齟齬にフォーカスを置いたシステミックリスク抽出•

分析ではなく，設計対象であるシステムをより理解するという思想• Control Structure以外のモデルの活用，ガイドワードや定量評価のありかたを整備•

input/output/algorithmおよびassumptionを想定し，Process Model Gapを発想•

Contextや，HCF，およびそのBarrierに関してもガイドワードでパターン化• 活用• シナリオベース検証に繋げるためのテストシナリオ検討手法の実践

22

3.STAMP/STPAの実践

Step 1: Define Purpose of the Analysis
1. 損失の識別L-1：人命（自他船乗組員等）の喪失・負傷
L-2：自船の損失または損害
L-3：他船や構造物等，海洋環境の損失または損害
L-4：輸送ミッションの喪失（→ 顧客満足度の損失）
2. システム（※）レベルのハザードの識別H-1：自動運航船が，他船や陸地などに接近しすぎる [L-1, L-2, L-3, L-4]
H-2：自動運航船の堪航性が失われる [L-1, L-2, L-3, L-4]
H-3：自動運航船が，港から港までの輸送ミッションを完結できない [L-4]
3. システムレベルの制約の定義
SC_ID Safety Constraints

Accident

Description

SC1

他船・障害物および陸地や浅水域とは，安
衝突・座礁
全な離隔距離を確保しなければならない

安全な離隔距離は状況に応じて可変SC2

堪航性（復原性，安定性の担保）は，いか 機器破損・荷物破損・転なる場合でも担保されなければならない
覆・浸水

アクチュエーターの損耗及び損傷・船体の完全性喪失・船内外の環境との適合失敗・Racing（空転）・Slamming（船底衝撃）・許容を超える船体動揺・許容を超える船体応力の蓄積

SC3

運航ミッションを達成しなければならない

大幅な遅延，目的地未達， 航海意図・制約が不明確で計画達成できない
運航維持する体制喪失
システムが法令を遵守できない23

3.STAMP/STPAの実践

Step 2: Model the Control Structure【前述】• 物理アーキテクチャ（機器構成やネットワーク）は仮定せず，機能モジュールを用いて表現（汎用性を持たせる）• Fleet Operation Centerを想定し，船陸に機能配分• Navigation PlanningおよびChief
Engineerタスクを陸側に配置• UnberthingからBerthingまでの一連の航海を対象• 必要に応じ詳細化予定（特にDTC周り）

24

Control Structure of the target system

3.STAMP/STPAの実践

Step 2: Model the Control Structure• コントロールストラクチャに限らず，時系列的な挙動（航海モードやステータスの違い，処理の関係性や分岐の仕方等）を表現したモデルを構築，分析に活用（高附2022）
シーケンス図SOED/SERPPの挙動を示すFFBD

25

3.STAMP/STPAの実践

Step 3: Identify Unsafe Control Actions• それぞれのCAに対し，ガイドワード(N/P/T/D)を用いて安全制約に抵触しうる状況を想定• Contextを具体化することで，UCAが発生しうる客観的な状況を付記（検証シナリオにも活用）
自動運航船で考えられるODD評価軸（抜粋）【前述】
Category

Subcategory

Scenary

Geography
Offshore Structure
Navigational Area
Temporal Area Specifics

Dynamic Elements

Contextも踏まえたUCAの構造（Khastgir et al., 2021）

Other ships (and type)Obstacles• Contextは以下の要素の組み合わせで表現

Own shipSupport of Own ship

• ユースケース（航行モード，およびその遷移）

Environmental Condition

Weather and Illumination (Impact on Sensing)
Weather (Impact on Actuation)• ステータス（自律化レベル，およびその遷移）

Connectivity• 荒天，他船の位置等，ODDメトリクスを踏まえた設定

Manual/Fallback(M)

Track
Control(TC)

Monitoringwith Approval(MA)

ステータスの遷移

Monitoringwith Mind
ON (MM)

Fully
Autonomous
(FA)

26

航行モードの遷移3.STAMP/STPAの実践

Step 4: Identify Loss Scenarios• プロセスモデル(*)の齟齬に起因するリスクを抽出• UCA (with Context) ごとに以下について段階的に整理し，シナリオを構築 (Khastgir et al., 2021)• プロセスモデル（Process Model）•

コントローラが認識するコントロール対象の状態•

入力に対する信用／出力に対する期待／プロセスの情報解釈 の視点から抽出（後述）• 齟齬の理由（Belief Cause）•

Process Model Beliefの理由•

具体のインプットや情報解釈を踏まえて，機能モジュールレベルまで理由を具体化する• 原因（Causal Factor）•

Belief Causeの根本要因，粒度は様々．HAZID等を踏まえた機能ブロック別の整理表を参照•

機能モジュールの故障・不具合検知ミス／性能限界／設計の誤り（前提条件の不一致等）の視点から抽出(*) プロセスモデル (Process ModelもしくはProcess Model Belief)：
コントローラが認識するコントロール対象の状態．STAMPでは，創発的な事故が起きる主な原因は，不正確なプロセスモデル（プロセス
モデルとシステムの実際の状態の不整合）にあるとしており，原因を特定する上でプロセスモデルの導出を重視している．

27

3.STAMP/STPAの実践

Step 4: Identify Loss Scenarios - 各モジュールのタスクの詳細化• Control Structureのほかに，シーケンス図等を参照（Step 2: Model the Control Structure）• コンセプト設計の情報を踏まえ，機能ブロックの機能の詳細，およびそこに用いるインプット，アウト
プット，判断時の解釈（前提・想定）を明らかにし，Process Model, Belief Causeの抽出を容易にする

Process Model抽出のための各Control ActionのInput/Outputと内部アルゴリズムおよびAssumptionの例
Controller CA

ActionPlanner

Control Action (to XXX)

Other Output

Input (from XXX)

Input (from XXX)
Function (用いるinput)(as other CA)

Assumption(Process Modelの特定に重要)F1 CIMからのステータス情報を踏まえ，立案すべきか判断する
a1
F2.1 FA/MMステータス場合，周囲の状況を踏まえ，安全な行 Controller/Actuator/
i1 自船の位置・姿勢に動計画を立案し，Controllerに伝える（A1, 1-5）[CA]Hull Modelの性能は限i4 航海計画 (fromo1 Maneuvering健全 関する情報（fromF2.2 MAステータスの場合，周囲の状況を踏まえ，安全な行 定された情報（場合にNavigation
Action Plan (長期航海計性 (to CIM)
Sensor (Own)）
動計画を立案し，Navigation Officerへの承認依頼（A1）を よってはstatic）で判
Planner) [CA]画)[CA3.1]（to Controller） o2 ウェイポイント
i2 短期間・周囲の他船送付したのち，承認をもってControllerに伝える（A1, 1-5） 断する．また，不具合
i6 行動計画
承認依頼 (to Navigation（群）（toの情報（from Sensor）[CA]の有無はステータス情
CA3
（from
Officer）※必要に応じてNavigation Planner） i3 短期間・周囲の環境
F2.3 TCステータスの場合，Navigation Officerからの入力情 報で判断する
Navigation
MRMのための計画（too3 到達時間（速力） 情報（from Sensor）
報をそのままDTCに伝える
a2 他船が等速直線運Officer）[CA]Controller）※必要に応じて （to Navigationi5 海図情報・NGA (fromF2.4 Mステータスの場合，DTCへの信号送信を停止する
動をすると仮定して状
i7 ステータス
Planner）
Navigation Planner)F2.5 MA/TCステータスの場合Navigation Officerからの承況判断する(from CIM) [CA]認・入力がない場合は，直ちにMRMを実行する(A3, 1-7)
a1' 入力されたイン[CA]※実装しない
プット（Staticな情F3 Shore Operatorが意思決定を行うために，i1-i4を統合し， 報）をもとに判断
常時表示する

アウトプットは何か？
（うちコントロールアクションは？）インプットは何か？
（うちコントロールアクションは？）28

内部のアルゴリズムにてどのようにインプット情報を用いているか？

アルゴリズム処理内で前提・想定があるか？

3.STAMP/STPAの実践【参考】FRAM (Functional Resonance Analysis Method) との親和性• レジリエンス・エンジニアリングにおける安全解析手法 (Hollnagel 2013)• 機能共鳴：複数の機能が相互にインタラクションした結果，外乱に柔軟に対応する一方で，逆にエスカ
レーションなどを起こし， 安全を脅かすこと．「成功」からも「危険」は生じる• 失敗と成功の同義性．帰納法的，統合 ↔ 演繹法的，分解（FMEA）• 複数の機能のインタラクションを明らかにし，その関係性の中に安全にかかわるシステムの特徴を見出す
どの情報を前提としているのか？
制御のための情報は何か？等
情報の使われ方も含めてシステムの挙動を明確化している点が類似（今後関係性を詳細化：特に”資源”となる機関や通信等も絡める）＝プロセスモデルの齟齬を抽出するガイドとしても活用可能

・ Tempo: インタラクションの速度の変化
・ Escalation: インタラクションの強度の増大
・ Dilemmas: インタラクションの強度の減少
・ Coupling: 複数のインタラクション間の依存
・ Reframing: インタラクション構造の再構築

野本ら，SEC journal Vol.14 No.1 Aug. 201829

3.STAMP/STPAの実践

Step 4: Identify Loss Scenarios - ロスシナリオの具体例
ロスシナリオの具体例
UCA_ID
UCA3-P-1
UCA3-P-1
UCA3-P-1
UCA3-P-1

UCA3-P-1

UCA3-P-1
UCA3-P-1

UCA3-P-2

UCA

SC_ID Context

SERPP (machine)より他船・陸と近づ
くAction PlanがDTCに伝わり，そのま SC1
ま他船・陸との距離近接に至る[SC1]SERPP (machine)より他船・陸と近づ
くAction PlanがDTCに伝わり，そのま SC1
ま他船・陸との距離近接に至る[SC1]SERPP (machine)より他船・陸と近づ
くAction PlanがDTCに伝わり，そのま SC1
ま他船・陸との距離近接に至る[SC1]SERPP (machine)より他船・陸と近づ
くAction PlanがDTCに伝わり，そのま SC1
ま他船・陸との距離近接に至る[SC1]SERPP (machine)より他船・陸と近づ
くAction PlanがDTCに伝わり，そのま SC1
ま他船・陸との距離近接に至る[SC1]SERPP (machine)より他船・陸と近づ
くAction PlanがDTCに伝わり，そのま SC1
ま他船・陸との距離近接に至る[SC1]SERPP (machine)より他船・陸と近づ
くAction PlanがDTCに伝わり，そのま SC1
ま他船・陸との距離近接に至る[SC1]SERPP (machine)より制御できない
Action Planが伝わり，人のバックアッ
SC2プ操船も間に合わず，操縦不能→転覆・船体ダメージに至る[SC2]From

他船や陸が自船周囲にいる状況，航行
SERPP
中（全航海モード），ステータス(machine)"FA/MM"
他船や陸が自船周囲にいる状況，航行
SERPP
中（全航海モード），ステータス(machine)"FA/MM"
他船や陸が自船周囲にいる状況，航行
SERPP
中（全航海モード），ステータス(machine)"FA/MM"
他船や陸が自船周囲にいる状況

SERPP(machine)

他船や陸が自船周囲にいる状況，航行中（全航海モード），航海途中で一旦 SERPP
自動運航システムをOFFとし，再起動 (machine)
した状況，ステータス"FA/MM"
他船や陸が自船周囲にいる状況，航行
SERPP
中（全航海モード），ステータス(machine)"FA/MM"
他船や陸が自船周囲にいる状況，航行
SERPP
中（全航海モード），ステータス(machine)"FA/MM"
航行中（全航海モード），ステータス
SERPP"FA/MM" ※人のバックアップが入っ(machine)
た場合の分析必要

Contextは
•
•
•

航行モード
ステータス
その他（荒天，他船の位置等）

をベースに記載

PMB_
Belief Cause
ID

To

Process Model

旧SC

LS_ID

DTC

自船周囲の他船・陸を認識していない／実際と異なる位置で認識している

1

情報が現実と異なるにもかかわらず，確度の高い他船情報が得
i2られていると認識している

Sensor（他船）Integrator

SC2

LS1

DTC

自船周囲の他船・陸を認識していない／実際と異なる位置で認識している

1

情報が現実と異なるにもかかわらず，確度の高い自船（船位・i1
速力）情報が得られていると認識している

Sensor（自船）Integrator

SC1

LS2

DTC

自船周囲の他船・陸を認識していない／実際と異なる位置で認識している

1

情報が現実と異なるにもかかわらず，確度の高い地理情報(NGA)が得られていると認識している

Sensor（地理）Integrator

SC7

LS3

DTC

自船周囲の他船・陸を認識していない／実際と異なる位置で認識している

1

最新の情報を取得していると認識している（センサ情報が揃っcomている→通信の遅れ，等）Communication

通信(SC8?)SC1/2/3/7

LS4

DTC

自船周囲の他船・陸を認識していない／実際と異なる位置で認識している

1

最新の情報を取得していると認識している（過去の情報が残っcomている状態で計画策定を行う）

Integrator

SC1/2/3/7

LS5

DTC

自船周囲の他船・陸を認識していない／実際と異なる位置で認識している

1

情報が現実と異なるにもかかわらず，海図情報が正しく得られi5ていると認識している

Sensor（地理）Integrator

SC7

LS6

DTC

自船の制御装置は計画を正しく追従できる
1/2と認識している（制御装置の性能を自然環境情報をベースに見積もっており）
i3/To
確度の高い自然環境情報が得られていると認識している

Sensor（自然環境）Integrator

SC3

LS7

DTC

自船の制御装置は計画を正しく追従できると認識している（制御装置の性能をステータスを基に判断しており）確度の高To/a1
い制御性能の情報が得られていると認識している

SERPP (machine)

SC5/6

LS14

2

GW_ID 機能ブロックi5

Process Modelの齟齬はProcess Modelの齟齬の理由は1入力に対する信用
2出力に対する期待
3プロセスの情報解釈（及びその仮定）

具体的なインプット(i)や処理における仮定（a) 等の視点から抽出30を踏まえて機能ブロックレベルまで具体化

3.STAMP/STPAの実践

HCF，バリア種類別整理，リスク評価，テストシナリオ作成• ロスシナリオをベースに，UCA間の関係性やバリアの位置づけを明確化，安全要件に追加• Causal Factorの発生を抑える対策，発生してもProcess Modelの齟齬を生まないための対策，等• ロスシナリオごとに，Severity/Frequencyを評価• 対策の十分性を評価するとともに，検証のためのシナリオの優先順位付けに活用
Causal Factorそのものの発生を抑えるための対策

Loss

SC

Lv. 1

UCA

PM

Loss
SC

UCA

Lv. 4,3
CF

PM

FM

FM
FMEAを参照CF

ロスシナリオごとに，リスクアセスメント
および検証（のためのシナリオ構築）を行う

BarrierのLevel
4 ハザードそのものをなくす
3 ハザードの発生確率を下げる
2 ハザード時の上位事象確率を下げる
1 事故後のダメージを削減する

CF

Lv. 2
Process Modelの齟齬を発生させないための対策

FM

PM
ロスシナリオ構成とバリアのイメージ

31

CF

FM: Failure Mode
CF: Causal Factor
PM: Process Model Belief
UCA: Unsafe Control Action
SC: Safety Constraint

目次
1. 背景
•

海運における課題•

MEGURI2040プロジェクトにおける自動運航船開発と実証•

自動運航船に対するコンセプト開発と安全性

2. モデルを活用したコンセプト設計とSTAMP/STPAの導入
3. STAMP/STPAの実践•

自動運航船システムへのSTPA適用事例（先行研究）•

STPA実施のポイント

•

分析の流れ

4. STAMP/STPA結果の検証・妥当性評価シナリオとしての活用•

記述モデルと数値モデルを組み合わせたシナリオベース検証フレームワークの提案

5. まとめ32

4. STAMP/STPA結果の検証・妥当性評価シナリオとしての活用

記述モデルと数値モデルを組み合わせたシナリオベース検証フレームワークの提案• 自動車業界で採用されている3段階の抽象度のシナリオ記述を採用 (Menzel et al., 2018)① STPA を通じた Functional Scenario の抽出② 運用設計領域 (Operational Design Domain: ODD) を踏まえた Logical Scenario の定義③ ガウス過程回帰とサンプリングを通じた Concrete Scenario の試行
段階的なシナリオ記述

Source: ECE/TRANS/WP.29/GRVA/2022/2

33

4. STAMP/STPA結果の検証・妥当性評価シナリオとしての活用①STPAを通じたFunctional Scenario抽出【前述】• STPAにおいて危険なコントロールアクション(UCA) を抽出する際に生じうるコンテキストを詳
細に記述• プロセスモデル（コントローラが把握するシステ
ムの状態）の現実との乖離を踏まえて要因を記載することで，Functional Scenarioを抽出
危険なコントロールアクション (UCA3-NT-1)

大洋航海を自律ステータスFAで航行中，周囲に他船がいるときに，Action Plannerからの行動計画が提供されない・遅れて提供される•••[SC1. 他船や周辺ンJSX障害物との離隔距離保持]

Action Plannerのプロセスモデル：他船が周辺にいないと想定している
理由：他船の認知ができていない（入力への信頼）
原因：Sensor/Integratorの故障，経験劣化，性能限界
ロスシナリオ (as Functional Scenario) (LS-UCA3-NT-1-B1C2)

大洋航海を自律ステータスFAで航行中，周囲に他船がいる
ときに，他船認知Sensor/Integratorの故障・不具合でAction Plannerは他船が周辺にいないと想定する状況が続き，Action Plannerからの行動計画が提供されず・遅れて提供され，他船との距離近接，さらに衝突・座礁に至る

Khastgir et al, 2021
中島ら，自律航行システムのシミュレーションベース検証手法の提案，
日本船舶海洋工学会論文集，38（in press）

34

4. STAMP/STPA結果の検証・妥当性評価シナリオとしての活用②ODD を踏まえたLogical Scenario定義• Functional Scenarioを参考にしつつ，テスト環境（避航操船シミュレータ）に合わせたシナリオを抽出• 自動運航船のODD構成要素を定義し，その中からLogical Scenario記述のための入力指標を抽出
Functional Scenarioの例(LS-UCA3-NT-1-B1C2)

大洋航海を自律ステータスFAで航行中，周囲に他船がいるときに，他船
認知Sensor/Integratorの故障・不具合でAction Plannerは他船が周辺にいないと想定する状況が続き，Action
Plannerからの行動計画が提供されず・遅れて提供され，他船との距離
近接，さらに衝突・座礁に至る

Logical Scenario記述の例
シナリオ入力変数
Dynamic Elements of (each) ship: Other ship(s)他船速力: [0..12] knot

他船検出位置: [60..300] degree(衝突点からの角度)
評価関数

避航動作における最小離隔距離
前提条件

自船周囲で衝突可能性のある船を突然認識する状況を想定，十分な離隔距離を確保して避航できることを検証
中島ら，自律航行システムのシミュレーションベース検証手法の提案，
日本船舶海洋工学会論文集，38（in press）• 登場する他船は1隻を想定，NGAは想定しない（大洋航海中を想定）• 1NM先の衝突点に近づくことを想定（1NM以内の検知率は十分に高いと想定）• 他船は避航しないことを想定

35

シナリオの概要

4. STAMP/STPA結果の検証・妥当性評価シナリオとしての活用③ガウス過程回帰とサンプリングを通じたConcrete Scenarioの試行• Logical Scenarioで定義した連続空間から，Sobol’ 列を用いてサンプルを抽出（準モンテカルロ法）• ガウス過程回帰 (GPR) で得られた関数の 99% (± 2.58 σ) 信頼区間で安全性を確認• 留意すべき状況に対してはODD外とし，適切なフォールバック（人間による監視・オーバーライド等）
Logical Scenario空間

シミュレーション結果（黒：シミュレーション結果，色・面：回帰関数の平均）

他船速力: [0..12] knot

他船検出位置:[60..300] degree
最小離隔距離 [m]中島ら，自律航行システムのシミュレーションベース検証手法の提案，
日本船舶海洋工学会論文集，38（in press）

36

シミュレーション結果（Robustness Scoreの0.5 パーセンタイル下側信頼区間の値）

4. STAMP/STPA結果の検証・妥当性評価シナリオとしての活用

記述モデルと数値モデルを組み合わせたシナリオベース検証フレームワークの提案• 概念モデルを用いたリスク解析（STPA）では，リスクの定量化が困難（Zhang, 2022）• 数値モデルによるシミュレーションを実施する場合，シナリオの絞り込みが困難（Karla and Paddock, 2016）→ リスクアセスメントからのシナリオ抽出＋数値シミュレーションベース検証フレームワークを提案

Vモデルにおける本フレームワークの位置づけ
中島ら，自律航行システムのシミュレーションベース検証手法の提案，
日本船舶海洋工学会論文集，38（in press）

37

目次
1. 背景
•

海運における課題•

MEGURI2040プロジェクトにおける自動運航船開発と実証•

自動運航船に対するコンセプト開発と安全性

2. モデルを活用したコンセプト設計とSTAMP/STPAの導入
3. STAMP/STPAの実践•

自動運航船システムへのSTPA適用事例（先行研究）•

STPA実施のポイント

•

分析の流れ

4. STAMP/STPA結果の検証・妥当性評価シナリオとしての活用•

記述モデルと数値モデルを組み合わせたシナリオベース検証フレームワークの提案

5. まとめ38

5. まとめまとめ• 自動運航システムの社会実装に向け，その安全性の担保は大きな課題• 人と機械を含む構成要素の相互作用に由来するハザード抽出およびリスクの定量評価等を通じ，既存の船と同等以上の安全性の論証が必要• 自動運航システムのコンセプト設計段階にSTPAを適用し，汎用性を持たせたシステムモデル群と，プロセスモデルの齟齬も含めた発生要因に関するガイドワードを用いて，ロスシナリオを効果的に抽出する手法を紹介• 抽出されたシナリオを基に，段階的にテストシナリオを具体化する手法を示し，STPAを設計の
みならず検証・妥当性確認にまで活用する一連の流れを提示• 【参考】DFFASドキュメンタリー映像

39