MEGURI2040 に係る安全性評価

成果報告書

別紙

自動運航船/無人運航船のリスク解析手順書
日本船舶技術研究協会
海上技術安全研究所

目次
1. 概要 ....................................................................................................................................... 2
2. 主要原則................................................................................................................................ 2
2.1 本手順書の対象とする船舶 ........................................................................................... 2
2.2 本手順書の対象とするリスク解析 ................................................................................ 2
2.3 用語の定義 ...................................................................................................................... 2
3. リスク解析の実施手順の概要 ............................................................................................. 4
4. 用意すべき資料 .................................................................................................................... 5
4.1 初期設計に対する解析で必要となる資料..................................................................... 5
4.2 詳細設計に対する解析で必要となる資料..................................................................... 5
5. リスク解析の各段階で行う作業.......................................................................................... 6
5.1 解析の準備 ...................................................................................................................... 65.2 検討組織 .......................................................................................................................... 7
5.3 解析条件の合意............................................................................................................... 7
5.4 解析と評価の実施......................................................................................................... 10
5.4.1

ハザード同定 .................................................................................................... 10

5.4.2

リスクの指標化 ................................................................................................ 115.4.3

初期設計に対するリスク解析及び評価 .......................................................... 125.4.4

詳細設計に対するリスク解析及び評価 .......................................................... 12

5.5 報告書 ............................................................................................................................ 12
付録 1 考慮すべきハザードの例........................................................................................ 14
付録 2 代表的なリスク解析手法の概要 ............................................................................ 17
付属書 1 自動運航船のリスク解析の実施例 ........................................................................ 20
付属書 2 無人運航船の実証実験のリスク解析の実施例 ..................................................... 76
参考文献................................................................................................................................. 138― 1 ―1. 概要
近年，自動運航船や無人運航船の開発が進められており，複数の船級協会や旗国から自動運航船のガイドラインが公開されている．また，国際海事機関 IMO（International Maritime
Organization, IMO）からは自動運航船や無人運航船の実証実験を安全に実施するための暫定
ガイドラインが公開されている．それらにおいてリスク解析の実施が明記されているが，具体的な手順等については示されていない．そのため，本手順書において，自動運航船や無人運航船の開発や実証実験の際に実施するリスク解析の具体的な手順等を示す．これにより，自動運航船や無人運航船の安全性向上及び開発促進に貢献する．

2. 主要原則
2.1 本手順書の対象とする船舶
自動運航船や無人運航船の定義や自動化レベルについて，国際的な合意がなされていな
い現状ではあるが，本手順書では，国土交通省海事局により示された「自動運航船の実用化に向けたロードマップ」におけるフェーズ II の自動運航船（陸上からの操船や AI 等による行動提案で，最終意思決定者である船員をサポートする船舶）やフェーズ III の自動運航船（自律性が高く，最終意思決定者が船員ではない領域が存在する船舶）を対象とする．なお，
本手順書では，フェーズ II の自動運航船を「自動運航船」，フェーズ III の自動運航船を「無人運航船」と呼ぶ．
2.2 本手順書の対象とするリスク解析
自動運航船や無人運航船は，従来通りに設計・建造・運航される船舶又はそれらを部分的に変更した船舶に，自動化システムが搭載されることが想定される．従来通りに設計・建造・運用される船舶は，十分な安全性を有しているため，船舶全体に対するリスク解析は不要であると考えられる．したがって，本手順書のリスク解析では，従来船と異なる部分，異なる運用方法により発生するハザードを解析する．
2.3 用語の定義
本手順書で使用される主要な用語の定義を表 2.1 に示す．
表 2.1 用語の定義
用語
リスク

定義
特定期間内において望まない事象が一定の結果とともに生じる可能性の尺度（すなわち，結果の頻度と重大性の組合せ）を指す．[1]ハザード

人命，健康，財産又は環境などに対して，危害を及ぼし得る要因をいう．危険因子ともいう．[2]― 2 ―事故シナリオ

ハザードが潜在している初期状態から，結果に至る一連の過程を想定し，それを記述したものを指す．[2]リスク低減措置

リスク低減のために実施される単一もしくは複数の対策を指す．対策
としては，ハザードの回避策、結果の大きさの縮小策，発生のしやすさの抑制策などがある．

HAZID

HAZard Identification の略．ハザードの同定を指す．

FI

Frequency Index の略．頻度指標．頻度を常用対数に変換して表現した
もの．

SI

Severity Index の略．深刻度指標．深刻度を常用対数に変換して表現し
たもの．

RI

Risk Index の略．リスク指標．リスクを常用対数に変換して表現したもの．FI と SI の和として求められる．

HAZID 会議

ハザードの同定を主目的に実施される会議のこと．ハザードの同定の他に，原因や結果の特定，FI, SI, RI の決定，リスク低減措置の検討も実施されることが多い．

タスク

操船業務を構成する操作や作業を，自動化システムの設計に応じて組み合わせたものをいう（自動化や遠隔制御の対象や範囲，程度によって「タスク」は異なる．[3]

サブタスク

タスクを構成する操作や作業をいう．[3]意思決定サブタ

サブタスクのうち，認知・判断・対応といった人間の意思決定に関わる

スク

サブタスクをいう．[3]自動化

意思決定サブタスクの一部又は全ての実行を，コンピュータシステム
が担当する状態をいう．[4]自動化システムコンピュータシステムあるいはコンピュータシステムと人間の組合せ
によって，意思決定サブタスクの一部又は全てを自動化するシステム
をいう．[3]

想定使用範囲自動化システムを搭載する船舶の主要目，自動化システムを使用する
航路，運航のフェーズや海気象条件等をいう．

運航設計領域自動化システムが適切に機能する運用の範囲をいう．ODD(Operational
Design Domain)とも表現される．[3]想定使用範囲の一部としても表現される．

フォールバック

自動化システムや遠隔制御システムの故障やサイバー攻撃による侵入など，自動化システムや遠隔制御システムが正常に作動しない状態が発生した際に，危険を最小化するために行う対応をいう．運航設計領域外の状態に陥った場合の対応を含む．[4]― 3 ―3. リスク解析の実施手順の概要
ここでは，リスク解析の実施手順を簡単に説明する．リスク解析は図 3.1 に示した流れで実施する．各項目の詳細な説明はカッコ内の数字が示す本手順書の各節を参照されたい．
リスク解析は初期設計及び詳細設計に対して実施する．初期設計に対するリスク解析では，解析対象範囲の確定やリスク解析を実施するために必要な資料を準備する．次にその資料を用いて，解析対象範囲を決定するとともにリスク解析を実施する上で確定しておかな
ければいけない情報を整理する．リスク評価のクライテリア等の解析条件について関係者間の合意を取ったうえで，解析と評価を実施する．最後に，以上の結果を纏めた報告書を作成する．
次に詳細設計に対するリスク解析を実施する．初期設計に対するリスク解析で推奨されたリスク低減措置を取り込んだ詳細設計に対して，初期設計では確定されていなかった具体的な機器やオペレーションを想定して，初期設計に対するリスク解析と同様の流れで解析と評価を実施する．なお，解析の準備や解析条件の合意は，初期設計に対するリスク解析と同様のものを流用できる場合が多いため，省略可能である．リスク評価の結果，推奨されたリスク低減措置を最終的な詳細設計に取り込み，本手順書で対象とするリスク解析は終了する．
なお，リスク解析の対象が実証実験である場合は，実証実験の目的によっては初期設計段
階のみのリスク解析を実施した後に実証実験を実施することもあると考えられることに留意されたい．

― 4 ―

図 3.1

リスク解析の作業の流れ

4. 用意すべき資料
本節では，解析の各段階で必要となる資料について，説明する．
4.1 初期設計に対する解析で必要となる資料
初期設計に対して解析を行う際は，以下の資料が必要である．
(1) 自動化システムの機能要求（自動化の対象タスク・サブタスク）(2) 自動化システムの全体像がわかるようなシステムアーキテクチャ（自動化システムと搭載船舶上の他のシステムとの関係性の明確化や使用されるセンサ類や航海機器の明確化を可能な限り実施することが望ましい）(3) 自動化システムの内部動作の概要(4) 自動化システムと人間の役割分担の概要（自動化システムと人間の権限移譲のプロセ
スやフォールバックのプロセスの概要を含む）(5) 自動化システムの運航設計領域
実証実験のリスク解析の場合は，上記に加え下記．
(6) 実証実験の内容（目的，航路，スケジュール，実施手順等）を示したもの
4.2 詳細設計に対する解析で必要となる資料
詳細設計に対するリスク解析には，初期設計段階で提示した資料に生じた変更点の他，初― 5 ―期設計段階で不明確であった部分の明確化を実施した資料が必要となる．

5. リスク解析の各段階で行う作業
本節では，リスク解析の各段階で行う作業について個別に説明する．
5.1 解析の準備
解析の準備段階として，解析対象船における従来船と異なる部分を明らかにする必要がある．解析対象船の新しい機能もしくは既存設備の新しい使用方法の目的，役割，構成物およびその使用方法等の情報を整理して，その情報に基づいて解析対象の定義と解析対象範囲の確定を行う．
まず，解析対象となる新機能を持つ設備等（以下，新設備等）の機能とその使用目的を明確にする必要がある．また，解析対象船で自動運航を行う条件として運航設計領域，航路の特徴，運航のフェーズ，運航設計領域から外れた場合に維持すべき条件とその間の対応方法を整理しておくことも必要である．
さらに，これらの情報や新設備等の仕様等に基づき，解析対象のモデル化を行うことが，解析対象の定義と解析対象範囲の確定，解析補助としても有用である．モデル化においては，新設備等を構成するハードウェア，ソフトウェア等のモジュール毎の要素機能を解析に適した程度に分解して定義する．必要に応じて，要素間の相互作用（入出力等）についても定義に含む．また，人間による情報の入力・修正等が可能な場合はその機能と人間との相互作用も含める．既存の船舶設備との相互作用がある場合には，当該設備もモデルに追加し，新設備等と既存設備の相互作用を明確化することで，新設備等の導入による既存設備への影響も解析可能になる．以上の手順で作成したモデル全体のうち，解析の目的に応じて必要な範囲を解析対象範囲として定義する．このようなモデルを利用することで解析対象の理解が促進され，解析の補助となることが期待できる．モデル化の例は付属書 1 や付属書 2 を参照されたい．
また，解析にあたっては，解析対象範囲に含まれる各構成要素の主な故障や不具合に関するデータがあれば収集しておくことが必要である．
以上をまとめると，解析の準備段階においては，下記の情報を整理しておくことが必要となる．これらの情報の記載例は付属書 1 や付属書 2 を参照されたい．
 機能の定義 機能の目的 自動化の範囲・操船者（船上乗組員／遠隔オペレータ）との関係
 遠隔制御の範囲・操船者（船上乗組員／遠隔オペレータ）との関係
 想定使用範囲（当該新機能を搭載する船舶の主要目，当該新機能を使用する航路，運航のフェーズや海気象条件等）
 運航設計領域（当該新機能が作動する外部条件，内部条件，通信条件等）― 6 ― 自動運航の方法
 当該機能のモニタリング手段
 自動運航中に運航設計領域から外れた場合の対応手順
 当該新設備等を構成するハードウェア，ソフトウェア等の要素ごとの機能，要素間の相互作用等（人間や既存設備等との関係を含む）
 解析対象範囲に含まれる各構成要素の故障・不具合に関するデータ
5.2 検討組織
解析は一般的に異なる専門分野の専門家出席の会議形式で実施する．その会議の出席者を選定する必要がある．専門家としては，例えば以下のような関係者が考えられる．
所有者，建造者，設計者，対象システムの安全性や設計，運用等に関する知識や経験を有する専門家，必要に応じて，検査員，船舶運航者，安全工学者，装置や人間工学の専門家，
航海士や海事工学者[5][6]5.3 解析条件の合意得られたリスクをどのように取り扱うか，あらかじめ決めておく必要がある．すなわち，リスクの大きさが一定以上と推定されたハザードについて，リスクを低減させる措置が必要な範囲を決め，関係者であらかじめ合意しておく必要がある．また，リスク低減措置適用
後のリスクについても推定するか決める．これらを行うためには，(i)リスクの指標化，(ii)クライテリアの設定が必要である．それぞれについて下記で述べる．
(i) リスクの指標化
ハザードから結果に至る事故シナリオの発生頻度とその被害度及びそれらの積であるリ
スクを半定量化（指標化）する．発生頻度や被害度を対数スケールで表現することで半定量化（指標化）を行う．被害度としては一般的に，人命，環境，財産への影響の大きさが考慮される．これらのうち全てを対象とするのか，いずれかを対象とするのかをあらかじめ決めておく必要がある．
リスクを R，発生頻度を F，被害度を S とすると，リスクは(1)式から求められ，これを常用対数に変換すると(2)式となる．
R = F・S(1)

Log(R) = Log(F) + Log(S)(2)

常用対数に変換されたリスク，頻度，被害度をそれぞれ Risk Index (RI)，Frequency Index(FI)及び Severity Index (SI)と呼ぶ．FI と SI 及びそれらの組合せである RI の例 [7]を以下に示す．これらは単なる例示であり解析において同じものを利用する必要は無い．そのため，― 7 ―FI 及び SI の定義について関係者間であらかじめ決めておく必要がある．なお，表 5.4 をリ
スクマトリクスと呼ぶ．
表 5.1 頻度の指標 (FI: Frequency Index) の定義の例[7]FI

頻度

F (per ship year)

7

頻繁

１隻において月に１度発生

10

5

時々

10 隻において年に１度発生

0.1

3

稀な

1,000 隻において年に１度発生

10-3

1

非常に稀な

全世界 5,000 隻あったとして生涯中に１度

10-5

定義

発生
表 5.2 深刻度（安全）の指標 (SI: Severity Index) の定義の例 [7]SI

深刻度

人間への影響S（死者数換船体への影響

算）
1

小さな影響

単一負傷者又は複数の軽傷者

局所機器の損傷

0.01

2

大きな影響

複数の負傷者又は重傷者

重大で無い損傷

0.1

3

深刻な影響

単一の死者又は複数の重傷者

重大な損傷

1

4

破滅的影響

複数の死者

全損

10

表 5.3 深刻度（環境）の指標 (SI: Severity Index) の定義の例 [7]
SI

深刻度

1

Category 1

１トン未満の油流出量2

Category 2

１トン以上 10 トン未満の油流出量

3

Category 3

１0 トン以上 100 トン未満の油流出量

4

Category 4

１00 トン以上 1,000 トン未満の油流出量5

Category 5

１,000 トン以上 10,000 トン未満の油流出量

6

Category 6

10,000 トン以上の油流出量

定義

表 5.4 リスク指標 (RI: Risk Index) の定義（リスクマトリクス）の例 [7]深刻度 (SI)
1

2

3

4

FI

頻度

小さな影響

大きな影響

深刻な影響

破滅的影響

7

頻繁

8

9

10

11

7

8

9

10

6

7

8

9

6
5

時々

― 8 ―

4
3

稀な

2
1

非常に稀な

5

6

7

8

4

5

6

7

3

4

5

6

2

3

4

5

(ii) クライテリアの設定指標化したリスクについて，どのように取り扱うかの判断基準，すなわちクライテリアを設定する．
このために，(i)のリスクマトリクス上であらかじめクライテリアを設定する．図 5.1 に示すように「リスク低減が必要」，「リスク低減の検討が必要」，「リスク低減不要」の 3 段階で設定するのが一般的である．各ハザードや事故シナリオ毎にリスクを指標化し，それとクライテリアを比較することで，リスク低減措置の要否を決定する．

図 5.1

クライテリアの設定例

 「リスク低減不要」に該当するハザードや事故シナリオについては，リスク低減措置の検討は不要である．
 「リスク低減の検討が必要」に該当するハザードや事故シナリオについては，リスク低減措置について検討する．また，そのリスク低減措置を実際に導入するか否かを検討する．比較的 RI の高いハザードや事故シナリオはリスク低減措置を導入する必要性が高い
ため，一定以上の RI であるハザードや事故シナリオに対しては，リスク低減措置を導入する．どの程度の RI に対してリスク低減措置を導入するかはあらかじめ決めておく必要がある．ただし，この RI より小さいハザードや事故シナリオであっても，そのハザードや事故シナリオは「リスク低減の検討が必要」に該当するハザードや事故シナリオであるため，リスク低減措置を導入する努力をする必要がある．
 「リスク低減が必要」に該当するハザードや事故シナリオについては，リスク低減措置を検討する．リスク低減措置を取った場合のリスクも指標化を実施するかについては，― 9 ―あらかじめ決めておき，指標化を実施する場合は，再びリスクマトリクス上のクライテリアとの比較を実施し，「リスク低減が必要」又は「リスク低減の検討が必要」に該当する場合は，更なるリスク低減措置の検討を行う．以上について，「リスク低減不要」又は「リスク低減の検討が必要」となるまで繰り返す．
5.4 解析と評価の実施
解析は，一般に用いられるハザード同定手法（例えば SWIFT, FMEA, HAZOP など）を用いて行う．解析対象となる新機能に発生しうるハザードを同定することから始め，ハザードの発生原因，そのもたらす影響の抽出，また影響の大きさとそのような影響がもたらされる頻度を推定する．これらのプロセスは前項の専門家と共に行う必要がある．必要に応じてリスクの高いハザードに対して推奨するリスク低減措置等を抽出する．同様に必要であればリスク低減措置実施後のリスクを推定する（リスク低減措置導入により発生する新たなハザード等が無いかも含め検討することが望ましい）．解析の過程は手法に対応するワークシートを用いて記録し，報告書の一部とする．
ハザード同定

5.4.1
(i)

一般的事項
ここでは，ハザード同定手法によらず解析の実施に際し必要な事項について説明する．
 専門家の選定
5.2 項を参照されたい．
 フェーズ分け
対象の自動化システムを利用するフェーズ毎に分析を実施する必要がある．例えば，
下記のフェーズを考慮する必要がある．なお，これは単なる例示であるため，対象の自動化システムの特徴に応じてフェーズを設定すること．
離着桟，港内航行，輻輳海域航行，大洋航行，非常時（火災，浸水等）
 考慮すべきハザードの例
考慮すべきハザードの例を付録 1 に示す．なお，単なる例示であるため，これに拘らず可能な限り多く，網羅的にハザードを同定すること．
 考慮すべきリスク対象の種類（人命，環境，財産）
5.3 項で述べた通り，被害度として人命，環境，財産への影響のうち全てを対象とするのか，いずれかを対象とするのかをあらかじめ決めておく．

(ii) リスク解析手法の概要
海事分野におけるリスク解析で一般的に良く用いられる手法である SWIFT (Structured
What IF Technique)の概要を下記に示す．SWIFT 以外の代表的な手法については付録 2 に示す．

― 10 ―

●SWIFT (Structured What IF Technique)
会議進行役の下，対象システムの設計者，使用者及び専門家等が参加する会議において，「もし～だったら」といった通常の状態からの逸脱を想定した質問を繰り返し，ブレインス
トーミングによりハザードを同定する手法である．
分析が比較的容易であり，コンセプト検討時や概念設計段階でも適用可能であるという長所がある一方，会議参加者の経験に依存する，事故シナリオが陽に示されないという短所がある．
SWIFT の標準的な手順及びワークシートは次の通り：
ステップ 1： 対象のシステムやプロセスを定義する．
ステップ 2： 設計情報や関連データ等の資料の準備や検討組織を手配する．
ステップ 3： HAZID 会議を開催し，ブレインストーミングによりハザード，原因，結果，FI，SI，RI，既存の安全対策等を特定する．
ステップ 4： これらの議論をワークシートに記録する．
ワークシート例：

図 5.2

5.4.2

SWIFT ワークシート例

リスクの指標化同定されたハザードや事故シナリオに対して頻度と被害度の半定量化（指標化）を実施す
る．この際，参考となる資料を以下に示す．
頻度，深刻度の設定にあたり必要となる資料：頻度・重大性の検討に必要なデータ
 過去に発生した/想定される各システムの不具合・故障・事故の発生頻度や被害の大きさ （人命・環境・財産にどのような規模の被害・影響が発生したか）に関するデータ，無ければ類似システムの参考データ
 人命（死傷者数）・環境（海洋汚染）・財産（船体損傷）に関するデータ
可能な限り，利用可能なデータを利用し，半定量化（指標化）を実施する必要があるが，利用可能なデータの無い場合も多い．その場合は，専門家の経験に基づき半定量化（指標化）― 11 ―

する．例えば，データに基づき半定量化（指標化）を実施したハザードや事故シナリオと比べて，データが無いハザードや事故シナリオの頻度や被害度がどの程度かを相対的に考えることによって，半定量化（指標化）することが可能である．
半定量化（指標化）したリスクについて，あらかじめ設定したクライテリアと照合し，あらかじめ設定した受容可否の判断方法，リスク低減措置の検討方法，リスク低減措置実施後の受容可否の判断方法に基づき，リスクに対する対応を決定する．

5.4.3

初期設計に対するリスク解析及び評価

概念もしくは基本的な設計情報に基づく初期のリスク解析の場合，システムの役割や，そのために生じる既存船との差異を主眼にリスク解析及び評価を実施する．
4.1 項で示した資料を利用し，5.1 項で示した方法により解析対象範囲を決定するとともに 5.1 項で示した情報を整理する．その上で，5.2 項に基づき出席者を選定し，5.3 項で示した事項等について合意し，5.4.1 項及び 5.4.2 項の通り解析及び評価を実施する．
以下のうち，概念設計から考えられるハザードを考慮する．
(1) ヒューマンマシンインターフェースに起因するリスク(2) 自動化システムに連結されるセンサ類や制御機器の不具合(3) 自動化システムが搭載船舶の他のシステムに与える影響(4) サイバーセキュリティ(5) 自動化システム運用時の不備（関連するソフトウェアの更新忘れや非常事態発生時の対応の妥当性検証も含む）

5.4.4

詳細設計に対するリスク解析及び評価

この段階では，以下に関する確認を行う．
 初期のリスク解析及び評価における推奨事項が詳細設計において確実に反映されているかどうか．
 初期のリスク解析では考慮されていなかった事故シナリオや関連機能があるかど
うか．
前者について，反映されていない場合は，詳細設計に反映する．後者について考慮されていなかった事故シナリオや関連機能がある場合は，5.4.3 項と同様に解析を実施し，解析の更新を行った上で評価を行う．
5.5 報告書
前項までの内容は文書に記録される必要がある．以下に記録すべき内容の目次例を示す．
1. 初期設計に対するリスク解析及び評価
1.1

初期設計でのシステムの概念的な説明とリスク解析で必要となる資料― 12 ―

1.2

解析の準備に必要な情報

1.3

検討組織

1.4

解析条件

1.5

解析及び評価結果

1.5.1

解析の実施方法

1.5.2

解析及び評価結果（ワークシートの添付，解析及び評価の結果の説明）

2. 詳細設計に対するリスク解析及び評価
2.1

詳細設計でのシステムの説明とリスク解析で必要となる資料

2.2

解析の準備に必要な情報

2.3

検討組織

2.4

解析条件

2.5

解析及び評価結果

2.5.1

解析の実施方法

2.5.2

解析及び評価結果（ワークシートの添付，解析及び評価結果の説明）― 13 ―

付録 1 考慮すべきハザードの例
考慮すべきハザードの例を各船級ガイド[4]，[8]，[9]におけるハザードの記載例や既往研
究[11]-[14]等を参考に纏めた結果を表 A1.1 に示す．
表 A1.1 考慮すべきハザードの例
分類
外部環境

ハザード
悪天候
視界不良
輻輳海域
想定外の他船の挙動自動化システム

情報収集装置からの信号喪失

及び関連装置の情報収集装置からの情報の信頼性や安定性の低下

不良

自動化システム内の関連装置の故障
自動化システムのソフトウェアのバグ
個船へのパラメータ等の調整が不適切（自動化システムへ本船の運動性能が正しく反映されていない等）
自動化システム又は関連装置の電源喪失
ヒューマンマシンインターフェースが不適切（警報発令の理由がわか
りにくい，自動化システムから人間へ移行する際の時間的余裕が足りない等）
自動化システムと他のシステムとのインターフェースが不適切（認知情報範囲の相違，運動モデルの相違，パラメータの不一致，システムの故障，通信不良など）

検知

漂流物等の小型物標の検知失敗
衝突対象の検知失敗
航路標識の検知失敗
船灯，音，形の検知失敗
半没水型の曳航装置や浮揚装置（地震計やトロール網等）の検知失敗
海図と計測された水深の不一致の検知失敗
気海象予報と実際の気海象の不一致の検知失敗
センサの性能低下の検知失敗
自動化システムの性能低下の検知失敗
スラミングや高振動の検知失敗

航行

他船や海洋構造物との衝突― 14 ―

浮遊物との衝突
海洋生物との衝突
陸上インフラとの衝突
好ましくない船体応答による非損傷時復原性の喪失
着氷による非損傷時復原性の喪失
予期しない操縦及び発進
推進力を失ったことによる座礁
操舵を制御できなくなったことによる座礁予定された航路からの逸脱による座礁予定された航路に誤りがあり座礁
航路上で漁労装置／漁網を引っかける
貨物の移動等による安定性が欠けた状態
運用時の不備海図，気海象情報，関連ソフトウェア等の更新忘れ，誤情報自動化システムへ設定データ，初期入力データの入力ミス（例えば，航行計画データ，避航判断のための基準値等）
関連する装置や機器類を自動化システムと互換性のないものへ交換
警報が多すぎる，警報の優先順位付けができない

通信

通信手段の電子的部品の不具合
無線接続における無線到達範囲の縮小
データ送信時のエラー（ビットエラー）
データ完全性の失敗（データ伝送時のエラー等）
コマンドの認識欠如
通信機能の設定の誤り
利用可能な帯域幅の想定外の減少
想定外の遅延の増加
長時間不安定なデータ接続
ネットワーク・ストーム
電力喪失

セキュリティ

GNSS 及び AIS などのスプーフィング
RADAR 等へのジャミング
自動化システム及び関連システムへの不正アクセス/ハッキング
自動化システム及び関連システムがマルウェアへ感染

船上乗組員（フ

船上乗組員の居眠りォールバック）

自動化システム使用者（船上乗組員）の習熟度や理解度が不足（アラームの意味を理解できない，自動化システムの使用環境が不適等）― 15 ―

自動化システム使用者（船上乗組員）の自動化システムへの過信
不適切なヒューマンマシンインターフェース
航海計画の誤入力や未入力を把握できない
不適切な避航航路を黙認
運航モードの切替（例：港外航行モード⇔港内航行モード）の未実施を把握できない
運航設計領域外になりフォールバックが必要となるが、船上乗組員が対応できない非常事態

船体の重大損傷（構造損傷や水密装置の故障による浸水等）
船舶設備（推進器，操舵装置やレーダー等）の故障
火災
ブラックアウト等による一時的又は永続的な停電

遠隔制御

遠隔オペレータのヒューマンエラー（居眠り，長時間の離席，データの誤った解釈等）船舶との通信遮断状態
通信の遅延及び不具合
遠隔制御システム等の画面のフリーズ
情報過多や情報の欠如による遠隔オペレータの状況認識の失敗
あるオペレータから別のオペレータへの職務の引継ぎ― 16 ―

付録 2 代表的なリスク解析手法の概要
本文で示した SWIFT 以外のリスク解析手法の概要について下記に示すとともに各手法の特徴を纏めた表を示す．SWIFT を含む各手法の詳細については参考文献[15]-[20]等を参照されたい．なお，自動運航船のリスク解析において，本手順書で示した以外の手法を利用することも可能である．
(1) FMEA (Failure Modes and Effects Analysis)
システムを構成する機器に着目し，その機器に発生し得る故障モードを特定し，それがシステムに及ぼす影響を解析する手法である．故障による影響の抽出方法としてよく用いられる方法である．
系統的，網羅的に分析が可能であるという長所がある一方，概念設計段階では適用が難し
い，労力や時間が多くかかる等の短所がある．
FMEA の標準的な手順及びワークシートは次の通り：
ステップ 1： 対象のシステムやプロセスを定義する．
ステップ 2： 設計情報や関連データ等の資料の準備や検討組織を手配する．
ステップ 3： 会議を開催し FMEA 分析を実施する．構成要素を順に選択し，その要素に対し，下記を実施する：
・ 機能の特定・ 生じ得る不具合の種類の特定（故障モード）・ その故障モードにより生じる局所的な影響（局所的影響）及びシステム全体に及ぶ影響（最終的影響）の特定
・ その故障モードからシステムを防御する方法（故障検出の方法，是正処置等）の特定ステップ 4： これらの議論をワークシートに記録する．
ワークシート例：

図 A2.1 FMEA ワークシートの例**HSC コードに基づく FMEA ワークシート海技研修正版― 17 ―

故障モードとは，生じうる不具合の種類であり，高速船の国際規則である高速船コード
2000[21]では次の故障モードが挙げられている： 構造上の故障（破壊），物理的な拘束又は噛み込み，振動，維持不能（位置的に），開かない，閉じない，開放不良，閉鎖不良，内部漏れ，外部漏れ，許容値逸脱（高），許容値逸脱（低），偶発的な作動，間欠的な作動，不安的な作動，誤表示，流量が制限，誤作動，停止不能，始動不能，切り替え不能，早期作動，遅延作動，誤入力（増加），誤入力（減少），誤出力（増加），誤出力（減少），入力減失，出力減失，短絡（電気的），開放（電気的），漏洩（電気的），その他(2) HAZOP (HAZard and OPerability Study)
プロセスプラントのハザード解析で良く用いられる手法であり，プロセスシステムに潜在する異常の発生，伝播メカニズムを明らかにして対策の妥当性を評価する手法である．設計意図からの「ずれ（逸脱）」を想定して分析開始とし，その発生原因と生じ得る影響の両側へ解析を進める．ガイドワードを用いて設計仕様からの逸脱による潜在的危険を分析す
るための質問を作成し，質問に回答する形で原因と影響を推定する．
系統的，網羅的に分析が可能であるという長所がある一方，概念設計段階では適用が難し
い，労力や時間が多くかかる等の短所がある．
(3) Bow-Tie Diagram
一般的に Bow-Tie（蝶ネクタイ）のような形で図示され，結び目に対象事象を，左側に対象事象を引き起こす可能性のある要因の繋がりを，右側には対象事象が引き起こす結果までの進展を図示し，対象事象の発生防止策や，結果への進展防止策も合わせて示すための手法である．本手法は，SWIFT 等との組み合わせで，事故シナリオを図示するために利用されることが多い．
事故シナリオを陽に図示できるという長所がある一方，本手法単独ではハザードや原因，結果等の同定が難しく，SWIFT 等の他の手法を利用しなければいけないという短所がある．
(4) STAMP/STPA (Systems-Theoretic Accident Model and Processes/System-Theoretic Process
Analysis)
AI/IoT 等の大規模・複雑化したシステムの安全性を分析するために開発された手法であり，要素間の相互作用の不具合に着目した手法である．FMEA 等の従来手法は，構成機器の故障やオペレーションミスに起因し事故が起きることを想定していたのに対し，本手法は要素間の相互作用から事故が起きると想定していることが特徴である．
従来手法では見出せない異常も抽出できる，従来手法より少ないコスト・工数で解析できる[22]，コンセプト検討時や概念設計段階でも適用可能であるという長所がある一方，故障の原因を詳細に解析したり，（半）定量的に評価することはできない[23]，新手法であるが― 18 ―

故，従来手法に比較し適用例が少ない等の短所がある．
以上の各手法及び SWIFT の特徴を整理すると表 A2.1 の通りとなる．
表 A2.1 各手法の特徴
SWIFT

FMEA

HAZOP

Bow-Tie

STAMP/STPA「もし～だっシステムを構

設計意図から

要因から対象

大規模・複雑たら」といっ成する機器にの「ずれ（逸事象，対象事化したシステた通常の状態

着目し，その脱）」を想定し象から結果まムの安全性をからの逸脱を機器に発生して分析開始とでの過程を蝶分析するため

想定した質問得る故障モー

し，その発生

ネクタイの形に開発されたを繰り返し，

ドを特定し，

原因と生じ得で図示する手手法であり，

ブレインスト

それがシステる影響の両側法．

要素間の相互ーミングによムに及ぼす影へ解析を進め作用の不具合りハザードを響を解析するる手法に着目した手

同定する手法手法

一般的なコンセプト検詳細設計

適用段階

討，概念設計，討，概念設計， 討，概念設計，

詳細設計

詳細設計

詳細設計

概要

法
詳細設計

コンセプト検コンセプト検主な長所

・分析が比較

・系統的，網・系統的，網・事故シナリ・従来手法でと短所

的容易

羅的に分析が羅的に分析がオを陽に図示は見出せない・コンセプト可能

可能

可能

異常を抽出可検討時や概念・概念設計段・概念設計段・本手法単独能[22]設計段階でも階では適用が階では適用がではハザード・従来手法よ

適用可能

難しい

難しい

や原因，結果り少ないコス・会議参加者

・労力や時間・労力や時間等の同定が難ト・工数で解の経験に依存が多くかかるが多くかかるしく，SWIFT析可能[22]

・事故シナリ等の他の手法・コンセプトオが陽に示さを利用しなけ検討時や概念

れない

ればいけない

設計段階でも適用可能
・故障原因の詳細解析が困難・（半）定量的
評価が困難― 19 ―

[23]・従来手法に比較し適用例が少ない

付属書 1 自動運航船のリスク解析の実施例
自動運航船のリスク解析の実施例を以下に示す．以下に記載の通り，ここでは，フェーズ
として通常航行（港外航行及び港内航行）と離着岸の 2 つを想定した．更に網羅的なハザー
ド同定の実施が必要な場合は，更に細かくフェーズ分けした上でリスク解析（HAZID）を実施することが望ましいことに留意されたい．
i. 資料の準備
本手順書 4.1 節等に記載した各資料の例を以下に示す．
(0) ConOps
Table 1.1 ConOps●機能の定義本機能は，所与の航海計画を目標とし，逐次発生する他船や漂流物，海気象に由来する外乱等を検知し，事前に定義された行動方針に従って操船計画を立案し，これを実現する機関出力と操舵指令を計算し，本船の速力，針路を出力しながら目標の達成を行うものである．
航海計画は，出発地，出発日時，到着地，到着日時，経由地等から構成されるものとす
る．船上の自律操船システムは航海計画を踏まえて本機能搭載船の操船計画を策定し，船舶制御システムを介し，操船計画に則った操舵と機関出力の制御を行う．
＜航海計画＞
出発地：XXX 港
出発日時：X 月 X 日 X 時 X 分
到着地：YYY 港
到着日時：Y 月 Y 日 Y 時 Y 分
経由地：ZZZ 港
経由地到着日時：Z 月 Z 日 Z 時 Z 分＜行動方針＞
他船の航行を阻害せず，他船の船員等に恐怖感を与えないよう，適切な避航開始時期，
適切な離隔距離を確保すること．
航海計画を考慮し，到着日時に大幅な遅れが生じないよう，上記の適切な避航開始時期― 20 ―

及び適切な離隔距離を確保しつつ，避航行動にかかる時間は必要最小限に抑えること．

●機能の目的
本機能の目的は，目標としている航海計画の実現において，阻害要因となる外部の障害
物や外乱に対する対応を含む操船計画を立案し，船上の船員の承認を得た操船計画を実行に移すことである．
●自動化の範囲・操船者（船上乗組員／遠隔オペレータ）との関係
本機能の自動化の範囲は，ClassNK ガイドライン[4]で例示されている分類 I に相当す
る．
障害物に関する情報の収集，統合，操船計画の作成は本機能によって実施される．
作成された操船計画は，船上の船員に提示され，承認を待機する．
承認を得た操船計画は，本機能によって操舵及び機関の設備に出力される．
以下で述べる本機能の想定使用範囲内では，本機能による自動操船を行い，その範囲外
では，船上の船員が従来通りの方法で操船を行う．
●遠隔制御の範囲・操船者（船上乗組員／遠隔オペレータ）との関係
本機能は，遠隔制御機能を有さない．
●想定使用範囲
船舶：
船名：〇〇〇
船種：フェリー総トン数：199 トン
全長：45m
全幅：9m
航行区域：沿海航路：XXX 港から YYY 港
運航のフェーズ：通常航行中（港内航行及び港外航行）、離着岸●自動運航の方法
本機能を搭載した船舶の自動運航は，想定使用範囲内の航路において，船上の船員から― 21 ―

作業を引き継ぎ，船員による動作確認の下，機能を動作させることで行う．想定使用範囲内の航路内の自動運航を完了し，船員へ作業の引渡しを完了するところまでを自動運航の範囲とする．

なお，航路の中途において運航設計領域の外に出た場合は，想定使用範囲内であっても船員に作業を引き渡すことで自動運航を終了する．
●当該機能のモニタリング手段
本機能が収集したセンサ情報，統合されたセンサ情報，作成された操船計画，運航設計
領域内における本船の位置づけは，全て船内の専用モニタリング装置によって，船員に対して常時提供される．
●自動運航中に運航設計領域から外れた場合の対応手順
運航設計領域から外れたことは，本機能によって検知され船内警報により船員に通知される．船員は決められた手順で，操船モードを自律操船モードから手動操船モードへ切替えることで，操船権は船員に引き継がれる．
(1) 自動化システムの機能要求（自動化の対象タスク・サブタスク）
Table 1.2
ID

要素名

自動化システムの機能要求（フェーズ：通常航行）
タスク

・操船計画の立案

1

自律操・運航フェーズ切替

船シス（通常航行→着岸操テム船）
・自身の状態の診断

2

3・自船の統合情報の取得
・他船/漂流物等の統合情報の取得
・気象海象の統合情報の取得
・航行安全性&経済性の計算
・操船計画の提示
・自身の状態判断に必要な情報の取得

自船情・自船情報の統合

・自船情報の取得

報統合

・自身の状態の診断

・自身の状態診断に必要な情報の取得

システ・センサの状態の診・センサの状態診断に必要な情報の取得

ム

断・統合情報、自身の状態、センサの状態の送信

他船/漂

・他船/漂流物情報

流物等

の統合

情報統

・自身の状態の診断

合シス・センサの状態の診

テム

断

気象海
象情報
4

サブタスク

統合シ
ステム

・他船/漂流物情報の取得
・自身の状態の診断に必要な情報の取得
・センサの状態の診断に必要な情報の取得
・統合情報、自身の状態、センサの状態の送信

・気象海象情報の統・気象海象情報（現在地）の取得

合・気象海象予測情報の取得

・自身の状態の診断

・自身の状態の診断に必要な情報の取得― 22 ―

・センサの状態の診・センサの状態の診断に必要な情報の取得

断・統合情報、自身の状態、センサの状態の送信・操船計画に基づく
船舶制
5

御シス
テム

制御量の計算・舵/機関の制御
・舵/機関の状態の診断
・自身の状態の診断

自律運
航管理
6

システ
ム

・操船計画の取得
・実船の位置の取得
・操船計画と自船の位置との偏差計算・制御閾値との現在状態の比較
・舵/機関の状態、自身の状態の送信
・自船情報、他船/漂流物情報、気象海象情報の・操船モード切替指取得

示・各システムの状態の情報の取得

・自身の状態の診断

・ODD 内外判定
・自身の状態の診断に必要な情報の取得
・自船情報、他船/漂流物情報、気象海象情報の7船員

・操船計画の承認、確認

修正

・自律操船システムが立案した操船計画の確認

・操船モード切替

・自律運航管理システムの運航モード切替指示の・緊急時対応（手動確認

操船強制切替）・各システムの動作の常時監視
・自船周囲の常時監視

Table 1.3 自動化システムの機能要求（フェーズ：離着岸）ID

要素名・自船の統合情報の取得

立案

・他船/漂流物等の統合情報の取得

・運航フェーズ切替

・気象海象の統合情報の取得（離岸操船→通常航・航行安全性&経済性の計算

行）

・離着岸操船計画の提示

・自身の状態の診断

・自身の状態判断に必要な情報の取得

自船情・自船情報の統合

・自船情報の取得

報統合

・自身の状態の診断

・自身の状態診断に必要な情報の取得

システ・センサの状態の診・センサの状態診断に必要な情報の取得

ム

断・統合情報、自身の状態、センサの状態の送信

船シス
テム

2

サブタスク

・離着岸操船計画の
自律操
1

タスク

― 23 ―

・自船と岸壁との距
岸壁距
離計測
3

システ
ム

離の計測
・近接の場合の警報
発出・自身の状態の診断
・センサの状態の診・岸壁位置の取得
・自船位置の取得
・自身の状態診断に必要な情報の取得
・センサの状態診断に必要な情報の取得

断

4

他船/漂

・他船/漂流物情報

流物等

の統合

情報統

・自身の状態の診断

合シス・センサの状態の診

テム

断

気象海
象情報
5

統合シ
ステム

6

御シス
テム

航管理
7

システ
ム

・センサの状態の診断に必要な情報の取得
・統合情報、自身の状態、センサの状態の送信
・気象海象情報（現在地）の取得

合・気象海象予測情報の取得

・自身の状態の診断

・自身の状態の診断に必要な情報の取得

・センサの状態の診・センサの状態の診断に必要な情報の取得

断・統合情報、自身の状態、センサの状態の送信

基づく制御量の計算
・舵/機関の制御
・舵/機関の状態の診断
・自身の状態の診断

自律運・自身の状態の診断に必要な情報の取得

・気象海象情報の統・離着岸操船計画に
船舶制

・他船/漂流物情報の取得

・離着岸操船計画の取得
・実船の位置の取得
・離着岸操船計画と自船の位置との偏差計算・制御閾値との現在状態の比較
・舵/機関の状態、自身の状態の送信
・自船情報、他船/漂流物情報、気象海象情報、・操船モード切替指

岸壁距離の取得

示・各システムの状態の情報の取得

・自身の状態の診断

・ODD 内外判定
・自身の状態の診断に必要な情報の取得
・自船情報、他船/漂流物情報、気象海象情報、・離着岸操船計画の
承認、修正
8

船員

・操船モード切替
・緊急時対応（手動操船強制切替）岸壁距離の確認・自律操船システムが立案した離着岸操船計画の確認
・自律運航管理システムの運航モード切替指示の確認
・各システムの動作の常時監視
・自船周囲の常時監視― 24 ―

(2) 自動化システムの全体像がわかるようなシステムアーキテクチャ

Figure 1.1 システムアーキテクチャ（フェーズ：通常航行）― 25 ―

Figure 1.2 システムアーキテクチャ（フェーズ：離着岸）(3) 自動化システムの内部動作の概要― 26 ―

Figure 1.3 操船に関する内部動作の概要（フェーズ：通常航行）

Figure 1.4 操船モード判断に関する内部動作の概要（フェーズ：通常航行）― 27 ―

Figure 1.5 操船に関する内部動作の概要（フェーズ：離着岸）

Figure 1.6 操船モード判断に関する内部動作の概要（フェーズ：離着岸）― 28 ―

(4) 自動化システムと人間の役割分担の概要
Table 1.4

自動化システムと人間の役割分担の概要（フェーズ：通常航行）

自律操船
Task

運航フェ
ーズ切替

システム

自船情報
統合シス
テム

他船/漂
流物等情
報統合シ
ステム

気象海象
情報統合
システム

船舶制御
システム

自律運航
管理シス

船員

テム

①切替

②監視

自船の情

①情報取

報取得

得/統合

他船/漂

②監視
①情報取

流物等の

②監視

得/統合

情報取得
気海象の

①情報取

情報取得

得/統合

②監視

（避航）
操船計画

①立案

②承認

の立案
（避航）
操船の実

①実行

②監視

行
関連セン

①状態診 ①状態診

サの状態

断

診断
自身の状

①状態診

態診断

断

断

断

②監視

断

①状態診 ①状態診
断

①状態診

①状態診

①状態診

①状態診

断

断

断

②監視

ODD 内
外判定&

①判定&

操船モー

決定

②監視

ド決定
操船モー
ド切替要
求&操船

― 29 ―

①モード

②モード

切替要求

切替

モード切
替
①監視

手動操船

②手動操

強制切替

船切替

Table 1.5
自律操
Task

船シス
テム

自動化システムと人間の役割分担の概要（フェーズ：離着岸）
自船情
報統合
システ
ム

他船/漂
流物等
情報統
合シス
テム

気象海

岸壁距

象情報

離計測

統合シ

システ

ステム

ム

船舶制
御シス
テム

自律運
航管理
システ

船員

ム

運航フ
ェーズ

①切替

②監視

切替
自船の

①情報

情報取

取得/統

得

②監視

合

他船/漂

①情報

流物等

取得/統

の情報

②監視

合

取得
気海象

①情報

の情報

取得/統

取得

合

②監視

岸壁距
離の計

①計測

②監視

測
離着岸
操船計
画の立

①立案

②承認

案
離着岸
操船の

①実行

実行

― 30 ―

②監視

関連セ
ンサの

①状態

①状態

①状態

①状態

状態診

診断

診断

診断

診断

①状態

①状態

①状態

①状態

①状態

①状態

①状態

診断

診断

診断

診断

診断

診断

診断

②監視

断
自身の
状態診
断

②監視

ODD 内
外判定

①判定

&操船

②監視

&決定

モード
決定
操船モ
ード切

①モー

替要求

ド切替

&操船

要求

モード

②モー
ド切替

切替
①監視

手動操

②手動

船強制

操船切

切替

替

(5) 自動化システムの運航設計領域
Table 1.6 自動化システムの運航設計領域
海域条件
航行区域
離着桟する港内水域指定された航路
港内での方向転換に必要な占用水域があること:: 3L の占用水域離着桟する桟橋水域

離着岸に必要な占用水域があること::0.5L の占用水域

輻輳度低い輻輳状態::3nm レンジ内に 8 隻までシステムが感知できない AIS 非搭載船や障害物等が無AIS 非搭載船及び障害物

いこと::500m 以内に大きさ 1m 以下の危険な障害物が無い

環境条件― 31 ―

気象海象
時刻

平穏な状態:: 風速 7m/s 以下，波高 1.5m 以下，視程500m 以上
終日

内部状態
システム状態

正常に稼働していること:: エラーの表示無し

運航に必要な機器

正常に稼働していること:: エラーの表示無し

船体動揺

船体の設計上の制約の範囲内:: 異常値の表示無し

その他

緊急事態に相当する事象が発生していない:: 船内火
災，船外火災，落水，緊急信号傍受等が生じていない

ii. リスク解析
i.で示した資料の自動運航船に対してリスク解析（HAZID）を実施した結果を纏めた
HAZID WS の例を Table 1.7 と Table 1.8 に示す．なお，FI (Frequency Index)，
SI (Severity Index)，
RI (Risk Index)の定義は，本手順書 5.3 節に記載と同じものを使用した．

― 32 ―

Table 1.7 HAZID WS (フェーズ：通常航行)
Sheet ID: 1
Phase: 通常航行
ID

Hazardハザード
自律操船システム1 操船計画の立案の誤り

Causes
原因

Consequences
結果

Existing Safeguards Index(before Recommendation
action)
既存の安全対策
SI FI RI 追加対策

・各システム故障時の警報・各種情報や航海計画
C1.1 入力情報(自船情未入力時の警報
報、他船/漂流物情報、・航海計画入力時のダブ
気象海象情報等)の未
ルチェック
取得や誤り
・自船や他船/漂流物のC1.2 航海計画（所E1.1 他船/物標、座礁 位置飛び時の警報
与）の未取得や誤りの危険性がある地点に異 ・操船計画立案アルゴリズ
C1.3 自律操船システム 常接近
ムのシミュレーションによるの操船計画立案アルゴリ E1.2 衝突、座礁、転
事前検証
ズムの誤り
覆・沈没
・ウィルス検知ソフトによりC1.4 自律操船システム
ウィルスが検知されていなの不具合・故障
いリムーバルメディアのみのC1.5 マルウェアの侵入や接続、外部ネットワークと
ハッキング
の未接続
・船員による常時監視・船員による手動操船強
制切替

C2.1 入力情報(自船情報、他船/漂流物情報、
気象海象情報等)の未取得
C2.2 航海計画（所与）の未取得操船計画の立案の未実
2
C2.3 自律操船システム ID1と同じ
施の不具合・故障
C2.4 マルウェアの侵入やハッキング
C2.5 問い合わせ（本機
能起動のトリガー）の未達・各システム故障時の警報・各種情報や航海計画
未入力時の警報
・一定時間超過時の警告発出・シミュレーションによる事
前検証
・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークとの未接続
・船員による常時監視・船員による手動操船強制切替― 33 ―

1155・操船計画立案アルゴリズ
ムの改良・システムの信頼性向上
6
策（冗長化等）の検討（費用対効果検討含む）

6 ID1と同じ

Index(after action)
Comments
SI FI RI コメント

1

1

5

※下記は更なる安全性向上にむけた推奨事項
・出力の検証と検証結果
6 に応じた対処機能の導入（自動化レベルに応じて、人または機械で実装）

5※下記は更なる安全性向上にむけた推奨事項
・問い合わせ元は、応答がなければ、新しい入力
情報で再問い合わせをす
6 る機構にする
・再問い合わせでも応答がない場合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

C3.1 入力情報(自船情報、他船/漂流物情報、
気象海象情報等)の未取得や誤ったタイミングによる取得
C3.2 自律操船システムの操船計画立案アルゴリ
ズムの不具合（操船計
操船計画の立案の実施
3
画立案演算に時間が掛 ID1と同じが遅すぎる/早すぎる
かり過ぎる）
C3.3 自律操船システムの不具合・故障
C3.4 マルウェアの侵入やハッキング
C3.5 問い合わせ（本機
能起動のトリガー）タイミ
ングの誤り

ID2と同じ・各システム故障時の警報・運航フェーズ切替位置
入力時のダブルチェック
C4.1 運航フェーズ切替
・自船の位置飛び時の警位置（所与）の入力誤報
E4.1 航路逸脱
り・航路逸脱時の警報
E4.2 他船/物標、桟
運航フェーズ切替（通常 C4.2 入力情報(自船位・シミュレーションによる事
橋、座礁の危険性がある
4 航行→着岸操船）の誤 置情報)の誤り
前検証
地点に異常接近りC4.3 自律操船システム
・ウィルス検知ソフトによりE4.3 他船・桟橋との衝の不具合・故障
ウィルスが検知されていな
突、座礁、転覆・沈没
C4.4 マルウェアの侵入やいリムーバルメディアのみのハッキング
接続、外部ネットワークとの未接続
・船員による常時監視・船員による手動操船強
制切替― 34 ―

1

1

5

6 ID1と同じ

1

5※下記は更なる安全性向上にむけた推奨事項
・問い合わせ元は、応答が遅ければ、新しい入力
情報で再問い合わせをす
6 る機構にする
・応答が間に合わない場
合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

5・システムの信頼性向上
策（冗長化等）の検討
6（費用対効果検討含
む）

1

5

6

C5.1 運航フェーズ切替
位置（所与）の入力誤
りや未入力
C5.2 入力情報(自船位置情報)の入力誤りや未運航フェーズ切替（通常 入力
5 航行→着岸操船）の未 C5.3 自律操船システム ID4と同じ実施の不具合・故障
C5.4 マルウェアの侵入やハッキング
C5.5 問い合わせ（本機
能起動のトリガー）の未達・各システム故障時の警報・運航フェーズ切替位置
や自船位置未入力時の警報
・自船の位置飛び時の警報・航路逸脱時の警報
・シミュレーションによる事
前検証
・運航フェーズ切替位置からの一定距離超過時の警告発出
・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークとの未接続
・船員による常時監視・船員による手動操船強
制切替

1

5

6 ID4と同じ

1

5

6 ID2と同じ

C6.1 入力情報(自船位置情報)の取得タイミングの誤り
C6.2 運航フェーズ切替ア
ルゴリズムの不具合（切替演算に時間が掛かり過運航フェーズ切替（通常ぎる）
6 航行→着岸操船）の実
ID4と同じC6.3 自律操船システム
施が遅すぎる/早すぎるの不具合・故障
C6.4 マルウェアの侵入やハッキング
C6.5 問い合わせ（本機
能起動のトリガー）タイミ
ングの誤り

・システム故障時の警報
・航路逸脱時の警報
・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークとの未接続・シミュレーションによる事
前検証
・運航フェーズ切替位置からの一定距離超過時の警告発出
・船員による常時監視・船員による手動操船強
制切替

1

5

6 ID4と同じ

1

5

6 ID3と同じ― 35 ―

・自己診断機能の事前検証
C7.1 自律操船システム
・ウィルス検知ソフトによりの自己診断機能のアルゴ ・異常時に正常と誤診断ウィルスが検知されていな
リズム間違い→ID4と同じいリムーバルメディアのみの
7 自身の状態の診断の誤り C7.2 入力情報(自己診 ・正常時に異常と誤診断
接続、外部ネットワークと断に必要な情報)の誤り →異常警報に基づき手の未接続
C7.3 マルウェアの侵入や 動操船へ切替
・船員による常時監視
ハッキング
・船員による手動操船強
制切替

1

5

6 ID4と同じ

1

5

6

自身の状態の診断の未実施

・自己診断機能の事前検証
C8.1 自律操船システム
・一定時間超過時の警の自己診断機能の不具 ・正常時に診断未実施 告発出合・故障・停止→問題無し（一定時間 ・ウィルス検知ソフトにより
C8.2 入力情報(自己診 超過時に警告は発出さ ウィルスが検知されていな断に必要な情報)の未取 れる）
いリムーバルメディアのみの得・異常時に診断未実施 接続、外部ネットワークとC8.3 マルウェアの侵入や →ID4と同じ
の未接続
ハッキング
・船員による常時監視・船員による手動操船強
制切替

1

5

6 ID4と同じ

1

5

6

自身の状態の診断の実施が遅すぎる/早すぎる・正常時に正常と診断す
るのが遅すぎる→問題無し（一定時間C9.1 自律操船システム
超過時に警告は発出さの自己診断機能の不具れる）
合・故障・異常時に異常と診断す
C9.2 自律操船システムるのが遅すぎるの自己診断アルゴリズムの→E9.1 手動操船への切不具合（自己診断演算
替遅れ
ID8と同じに時間が掛かり過ぎる）
E9.2 ODD外での自律
C9.3 入力情報(自己診
操船断に必要な情報)の取得
E9.3 航路逸脱
タイミングの誤り
E9.4 他船/物標、座礁
C9.4 マルウェアの侵入やの危険性がある地点に異
ハッキング
常接近
E9.5 他船との衝突、座礁、転覆・沈没

156 ID4と同じ

1

5

6

8

9

― 36 ―

自船情報統合システム

10 自船情報の統合の誤り

・情報統合機能の事前検証
・データに食い違いがある
E10.1 誤った（避航） 場合の対応方法の組込
C10.1 入力情報の不整
操船計画の立案み（どのデータを優先する
合(複数の自船情報センE10.2 誤った制御量の か等）
サの同一種類のデータが計算
・各システム故障時の警異なる、一つもしくは複数
E10.3 運航フェーズ切替 報の古い情報との統合等)の誤り/未実施
・同一種類データが異なる
C10.2 自船情報統合シ
E10.4 航路逸脱
場合の警告
ステムの情報統合機能のE10.5 他船/物標、座礁 ・ウィルス検知ソフトにより不具合・故障、統合アルの危険性がある地点に異 ウィルスが検知されていな
ゴリズムの誤り常接近
いリムーバルメディアのみの
C10.3 マルウェアの侵入
E10.6 衝突、座礁、転 接続、外部ネットワークとやハッキング
覆・沈没の未接続
・船員による常時監視・船員による手動操船強
制切替

C11.1 入力情報の不整合(複数の自船情報セン
サの同一種類のデータが異なる)
C11.2 自船情報統合シ
ステムの情報統合機能の自船情報の統合の未実
11
不具合・故障、統合アル ID10と同じ
施
ゴリズムの誤り
C11.3 マルウェアの侵入やハッキング
C11.4 問い合わせ（本機能起動のトリガー）の未達

・情報統合機能の事前検証
・データに食い違いがある
場合の対応方法の組込
み（どのデータを優先する
か等）
・各システム故障時の警報・同一種類データが異なる
場合の警告
・一定時間超過時の警告発出・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークとの未接続
・船員による常時監視・船員による手動操船強
制切替― 37 ―

1

1

5

4・システムの信頼性向上
策（冗長化等）の検討（費用対効果検討含
6
む）・情報統合アルゴリズムの改良

5 ID10と同じ

1

1

5※下記は更なる安全性向上に向けた推奨事項
6 ・統合情報の信頼度の管理（信頼度評価と低信頼度時の対策の策定）

4※下記は更なる安全性向上に向けた推奨事項
・出力が無い場合の対処機能の導入（当該システ
5ムの再起動など。機能が停止している場合の対処として、自身の診断とは別に用意）

C12.1 自船情報統合シ E12.1 誤った（避航）ステムの情報統合機能/ 操船計画の立案
アルゴリズムの不具合
E12.2 誤った制御量の（情報統合に時間が掛 計算
かり過ぎる）
E12.3 誤った位置での運自船情報の統合の実施 C12.2 異なるセンサの情 航フェーズ切替
12
ID11と同じが遅すぎる/早すぎる
報取得タイミングの誤り
E12.4 航路逸脱
C12.3 マルウェアの侵入 E12.5 他船/物標、座礁やハッキングの危険性がある地点に異C12.4 問い合わせ（本 常接近機能起動のトリガー）タイ E12.6 衝突、座礁、転ミングの誤り覆・沈没
C13.1 自船情報統合シ
ステムの自己診断機能の不具合・故障C13.2 自船情報統合シ
ステムの自己診断機能の13 自身の状態の診断の誤り アルゴリズム間違い
ID7と同じID7と同じC13.3 入力情報(自己診断に必要な情報)の誤り
C13.4 マルウェアの侵入やハッキング
C14.1 自船情報統合シ
ステムの自己診断機能の不具合・故障・停止
自身の状態の診断の未 C14.2 入力情報(自己14
ID８と同じID8と同じ実施
診断に必要な情報)の未取得
C14.3 マルウェアの侵入やハッキングC15.1 自船情報統合シ
ステムの自己診断機能の不具合・故障C15.2 自船情報統合シ
ステムの自己診断アルゴリ
ズムの不具合（自己診
自身の状態の診断の実
15
断演算に時間が掛かり過 ID9と同じ
ID9と同じ
施が遅すぎる/早すぎるぎる）
C15.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C15.4 マルウェアの侵入やハッキング― 38 ―

1

5※下記は更なる安全性向上に向けた推奨事項
・出力の遅れが大きい場
6
合の対処機能の導入（当該システムの再起動
など）

1

5

6

6 ID13と同じ

1

5

6

7 ID13と同じ

1

6

7

1

5

6 ID10と同じ

1

5

6

1

5

1

6

・自己診断機能のアルゴリ
ズムの改良

C16.1 自船情報統合シ
ステムのセンサ状態診断
機能の不具合・故障
・センサ状態診断機能及C16.2 自船情報統合シ ・異常時に正常と誤診断 びアルゴリズムの事前検証
ステムのセンサ状態診断 →ID10と同じ・ウィルス検知ソフトによりセンサの状態の診断の誤16
機能のアルゴリズム間違い ・正常時に異常と誤診断 ウィルスが検知されていなりC16.3 入力情報(センサ →異常警報に基づき手 いリムーバルメディアのみの状態診断に必要な情報) 動操船へ切替接続、外部ネットワークとの誤りの未接続
C16.4 マルウェアの侵入やハッキング156・センサ状態診断機能の事前検証
・一定時間超過時の警報発出・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

1

5

1

1

C17.1 自船情報統合シ
ステムのセンサ状態診断 ・異常時に診断未実施
機能の不具合・故障→ID10と同じセンサの状態の診断の未 C17.2 入力情報(センサ ・正常時に診断未実施
17
実施
状態診断に必要な情報) →問題無し（一定時間の未取得超過時に警告は発出さC17.3 マルウェアの侵入 れる）やハッキングC18.1 自船情報統合シ
ステムのセンサ状態診断
機能の不具合・故障
・センサ状態診断機能及・正常時に正常と診断す
C18.2 自船情報統合シびアルゴリズムの事前検証
るのが遅すぎる
ステムのセンサ状態診断ア・一定時間超過時の警→問題無し（一定時間
ルゴリズムの不具合（状
報発出
センサの状態の診断の実超過時に警告は発出さ
18
態診断演算に時間が掛・ウィルス検知ソフトにより施が遅すぎる/早すぎるれる）
かり過ぎる）
ウィルスが検知されていな・異常時に異常と診断す
C18.3 入力情報(センサいリムーバルメディアのみのるのが遅すぎる
状態診断に必要な情報)
接続、外部ネットワークと→ID12と同じの取得タイミングの誤りの未接続
C18.4 マルウェアの侵入やハッキング
他船/漂流物等情報統合システム
C19.1 入力情報の不整合（複数の他船/漂流物情報センサの同一種類
E19.1 誤った（避航）のデータが異なる、一つも操船計画の立案
しくは複数の古い情報とのE19.2 他船/物標、座礁
他船/漂流物情報の統 統合等）
19の危険性がある地点に異 ID10と同じ合の誤り
C19.2 他船/漂流物情常接近
報統合システムの情報統E19.3 衝突、座礁、転合機能の不具合・故障、
覆・沈没
統合アルゴリズムの誤り
C19.3 マルウェアの侵入やハッキング― 39 ―

・センサ状態診断機能のアルゴリズムの改良

1

5

6

6 ID16と同じ

1

5

6

5

6 ID16と同じ

1

5

6

5

6 ID10と同じ

1

5

6 ID10と同じ

C20.1 入力情報の不整合（複数の他船/漂流物情報センサの同一種類のデータが異なる）
C20.2 他船/漂流物情報統合システムの情報統
他船/漂流物情報の統20
合機能の不具合・故障、 ID19と同じ合の未実施
統合アルゴリズムの誤り
C20.3 マルウェアの侵入やハッキング
C20.4 問い合わせ（本機能起動のトリガー）の未達
C21.1 他船/漂流物情報統合システムの情報統合機能/アルゴリズムの不具合（情報統合に時間が掛かり過ぎる）
他船/漂流物情報の統 C21.2 入力情報(異なる21 合の実施が遅すぎる/早 センサの情報)取得タイミ ID19と同じ
すぎる
ングの誤り
C21.3 マルウェアの侵入やハッキング
C21.4 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りC22.1 他船/漂流物等
情報統合システムの自己診断機能の不具合・故障C22.2 他船/漂流物等
情報統合システムの自己
22 自身の状態の診断の誤り 診断機能のアルゴリズム ID7と同じ間違い
C22.3 入力情報(自己診断に必要な情報)の誤り
C22.4 マルウェアの侵入やハッキング
C23.1 他船/漂流物等
情報統合システムの自己診断機能の不具合・故
障・停止
自身の状態の診断の未23
C23.2 入力情報(自己 ID8と同じ実施
診断に必要な情報)の未取得
C23.3 マルウェアの侵入やハッキングID11と同じ

1

4

5 ID10と同じ

1

4

5 ID11と同じ

ID11と同じ

1

5

6 ID10と同じ

1

5

6 ID12と同じ

ID7と同じ1

5

6 ID13と同じ

1

5

6

ID8と同じ1

5

6 ID13と同じ

1

5

6― 40 ―

C24.1 他船/漂流物等
情報統合システムの自己診断機能の不具合・故障C24.2 他船/漂流物等
情報統合システムの自己自身の状態の診断の実 診断アルゴリズムの不具
24
ID9と同じID9と同じ
施が遅すぎる/早すぎる 合（自己診断演算に時間が掛かり過ぎる）
C24.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C24.4 マルウェアの侵入やハッキング
C25.1 他船/漂流物等
情報統合システムのセン
サ状態診断機能の不具
合・故障
C25.2 他船/漂流物等 ・異常時に正常と誤診断情報統合システムのセン →ID19と同じセンサの状態の診断の誤25
サ状態診断機能のアルゴ ・正常時に異常と誤診断 ID16と同じり
リズム間違い
→異常警報に基づき手C25.3 入力情報(センサ 動操船へ切替
状態診断に必要な情報)の誤り
C25.4 マルウェアの侵入やハッキング
C26.1 他船/漂流物等
情報統合システムのセン・異常時に診断未実施
サ状態診断機能の不具→ID19と同じ
合・故障センサの状態の診断の未・正常時に診断未実施
26
C26.2 入力情報(センサID17と同じ
実施→問題無し（一定時間
状態診断に必要な情報)
超過時に警告は発出さの未取得れる）
C26.3 マルウェアの侵入やハッキング― 41 ―

1

6

7 ID13と同じ

1

6

7

1

5

6 ID16と同じ

1

5

6

1

5

6 ID16と同じ

1

5

6

C27.1 他船/漂流物等
情報統合システムのセン
サ状態診断機能の不具合・故障・正常時に正常と診断す
C27.2 他船/漂流物等 るのが遅すぎる
情報統合システムのセン →問題無し（一定時間
センサの状態の診断の実 サ状態診断アルゴリズムの 超過時に警告は発出さ
27
ID18と同じ
施が遅すぎる/早すぎる 不具合（状態診断演算 れる）に時間が掛かり過ぎる） ・異常時に異常と診断す
C27.3 入力情報(センサ るのが遅すぎる
状態診断に必要な情報) →ID19と同じの取得タイミングの誤り
C27.4 マルウェアの侵入やハッキング1

5

6 ID16と同じ

1

5

6

ID10と同じ

1

5

6 ID10と同じ

1

5

6 ID10と同じ

ID11と同じ

1

4

5 ID10と同じ

1

4

5 ID11と同じ

気象海象情報統合システム
C28.1 入力情報の不整合(複数の気象海象情
報センサの同一種類のデータが異なる、一つもしくは複数の古い情報との統
気象海象情報の統合の 合等)
28
ID19と同じ誤り
C28.2 気象海象情報統合システムの情報統合機
能の不具合・故障、統合
アルゴリズムの誤り
C28.3 マルウェアの侵入やハッキング
C29.1 入力情報の不整合(複数の気象海象情
報センサの同一種類のデータが異なる)
C29.2 気象海象情報統合システムの情報統合機
気象海象情報の統合の29
能の不具合・故障、統合 ID19と同じ
未実施
アルゴリズムの誤り
C29.3 マルウェアの侵入やハッキング
C29.4 問い合わせ（本機能起動のトリガー）の未達― 42 ―

C30.1 気象海象情報統合システムの情報統合機
能/アルゴリズムの不具合（情報統合に時間が掛かり過ぎる）
気象海象情報の統合の C30.2 異なるセンサの情30
ID19と同じ
実施が遅すぎる/早すぎる 報取得タイミングの誤り
C30.3 マルウェアの侵入やハッキング
C30.4 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りC31.1 気象海象情報統合システムの自己診断機
能の不具合・故障
C31.2 気象海象情報統合システムの自己診断機
31 自身の状態の診断の誤り 能のアルゴリズム間違い ID7と同じ
C31.3 入力情報(自己診断に必要な情報)の誤り
C31.4 マルウェアの侵入やハッキング
C32.1 気象海象情報統合システムの自己診断機
能の不具合・故障・停止
自身の状態の診断の未 C32.2 入力情報(自己32
ID８と同じ実施
診断に必要な情報)の未取得
C32.3 マルウェアの侵入やハッキングC33.1 気象海象情報統合システムの自己診断機
能の不具合・故障
C33.2 気象海象情報統合システムの自己診断ア
ルゴリズムの不具合（自自身の状態の診断の実
33
己診断演算に時間が掛 ID9と同じ
施が遅すぎる/早すぎる
かり過ぎる）
C33.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C33.4 マルウェアの侵入やハッキングID11と同じ

1

5

6 ID10と同じ

1

5

6 ID12と同じ

ID7と同じ1

5

6 ID13と同じ

1

5

6

ID8と同じ1

5

6 ID13と同じ

1

5

6

ID9と同じ1

6

7 ID13と同じ

1

6

7― 43 ―

C34.1 気象海象情報統合システムのセンサ状態
診断機能の不具合・故障C34.2 気象海象情報統 ・異常時に正常と誤診断合システムのセンサ状態 →ID19と同じセンサの状態の診断の誤34
診断機能のアルゴリズム ・正常時に異常と誤診断 ID16と同じ
り間違い→異常警報に基づき手C34.3 入力情報(センサ 動操船へ切替
状態診断に必要な情報)の誤り
C34.4 マルウェアの侵入やハッキング
C35.1 気象情報統合シ
ステムのセンサ状態診断 ・異常時に診断未実施
機能の不具合・故障→ID19と同じセンサの状態の診断の未 C35.2 入力情報(センサ ・正常時に診断未実施
35
ID17と同じ
実施
状態診断に必要な情報) →問題無し（一定時間の未取得超過時に警告は発出さC35.3 マルウェアの侵入 れる）やハッキング
C36.1 気象海象情報統合システムのセンサ状態
診断機能の不具合・故障・正常時に正常と診断す
C36.2 気象海象情報統 るのが遅すぎる
合システムのセンサ状態 →問題無し（一定時間
センサの状態の診断の実 診断アルゴリズムの不具 超過時に警告は発出さ
36
ID18と同じ
施が遅すぎる/早すぎる 合（状態診断演算に時 れる）
間が掛かり過ぎる）
・異常時に異常と診断す
C36.3 入力情報(センサ るのが遅すぎる
状態診断に必要な情報) →ID19と同じの取得タイミングの誤り
C36.4 マルウェアの侵入やハッキング― 44 ―

1

5

6 ID16と同じ

1

5

6

1

5

6 ID16と同じ

1

5

6

1

5

6 ID16と同じ

156船舶制御システム
・システム故障時の警報
C37.1 操船計画の誤り・制御量計算アルゴリズム
C37.2 入力情報(制御のシミュレーションによる事
量計算に必要な情報)の E37.1 航路逸脱
前検証
誤り
E37.2 他船/物標、座礁 ・ウィルス検知ソフトにより操船計画に基づく制御量 C37.3 制御量計算アル の危険性がある地点に異 ウィルスが検知されていな
37の計算の誤りゴリズムの誤り常接近
いリムーバルメディアのみの
C37.4 船舶制御システ E37.3 衝突、座礁、転 接続、外部ネットワークとムの不具合・故障
覆・沈没の未接続
C37.5 マルウェアの侵入・船員による常時監視やハッキング・船員による手動操船強
制切替

1

5

・制御量計算アルゴリズムの改良・システムの信頼性向上
6
策（冗長化等）の検討（費用対効果検討含
む）

1

5

6

1

5

6 ID2と同じ

1

5

6 ID3と同じ

C38.1 操船計画の未取得C38.2 入力情報(制御
量計算に必要な情報)の未取得
操船計画に基づく制御量 C38.3 船舶制御システ
38
ID37と同じの計算の未実施
ムの不具合・故障
C38.4 マルウェアの侵入やハッキング
C38.5 問い合わせ（本機能起動のトリガー）の未達

・システム故障時の警報・各種情報未取得時の警報・シミュレーションによる事
前検証
・一定時間超過時の警告発出・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークとの未接続
・船員による常時監視・船員による手動操船強
制切替

1

5

・システムの信頼性向上
策（冗長化等）の検討
6（費用対効果検討含む）

C39.1 操船計画の取得タイミングの誤り
C39.2 入力情報(制御
量計算に必要な情報)の取得タイミングの誤り
C39.3 制御量計算アルゴリズムの不具合（制御操船計画に基づく制御量
量計算に時間が掛かり過39 の計算の実施が遅すぎる
ID37と同じぎる）/早すぎる
C39.4 船舶制御システ
ムの不具合・故障
C39.5 マルウェアの侵入やハッキング
C39.6 問い合わせ（本機能起動のトリガー）タイ
ミングの誤り・システム故障時の警報
・シミュレーションによる事
前検証
・一定時間超過時の警告発出・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークとの未接続
・船員による常時監視・船員による手動操船強
制切替

1

5

6 ID38と同じ― 45 ―

40 舵/機関の制御の誤り

E40.1 航行不能・システムの事前検証
E40.2 航路逸脱
C40.1 制御量計算の誤・アクチュエータ不具合・故E40.3 他船/物標、座礁り
障時の警報の危険性がある地点に異C40.2 アクチュエータの不・船員による常時監視
常接近
具合・故障
・船員による手動操船強
E40.4 衝突、座礁、転
制切替
覆・沈没

C41.1 入力情報(制御量)の未取得C41.2 アクチュエータの不41 舵/機関の制御の未実施 具合・故障
ID40と同じ
C41.3 問い合わせ（本機能起動のトリガー）の未達

・アクチュエータ不具合・故
障時の警報
・制御量未取得時の警報・一定時間超過時の警告発出・船員による常時監視・船員による手動操船強
制切替

1

1

5

5

・信頼性向上策（冗長6 化等）（費用対効果検
討含む）

6 ID40と同じ

C42.1 入力情報(制御量)の取得タイミングの誤り
C42.2 アクチュエータの不舵/機関の制御の実施が42
具合・故障
ID40と同じ
遅すぎる/早すぎる
C42.3 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りID41と同じ

1

5

6 ID40と同じ

C43.1 船舶制御システ
ムの舵/機関状態診断機
能の不具合・故障
C43.2 船舶制御システ
ムの舵/機関状態診断機
舵/機関の状態の診断の43
能のアルゴリズム間違い ID7と同じ誤り
C43.3 入力情報(舵/機関状態診断に必要な情報)の誤り
C43.4 マルウェアの侵入やハッキングID7と同じ1

5

6― 46 ―

・舵/機関状態診断機能のアルゴリズムの改良

5※下記は更なる安全性向上に向けた推奨事項
・舵/機関の状態が誤って6いる場合の対処機能の導入（当該システムの再起
動など。）

5

※下記は更なる安全性向上に向けた推奨事項
・舵/機関の制御が行われていない場合の対処機
能の導入（当該システムの再起動など。）
・問い合わせ元は、応答
6 がなければ、新しい入力
情報で再問合わせをする
機構にする
・再問合わせでも応答がない場合の対処機能の導入（自動化レベルに応じて、人または機械で実
装）

1

5

※下記は更なる安全性向上に向けた推奨事項
・舵/機関の制御の遅れが一定以上の場合の対処機能の導入（当該シ
ステムの再起動など。）
・問い合わせ元は、応答6 が遅ければ、新しい入力
情報で再問い合わせをする機構にする・応答が間に合わない場
合の対処機能の導入（自動化レベルに応じて、人または機械で実
装）

1

5

6

1

1

C44.1 船舶制御システ
ムの舵/機関状態診断機
能の不具合・故障
舵/機関の状態の診断の C44.2 入力情報(舵/機44
ID８と同じ
未実施
関診断に必要な情報)の未取得
C44.3 マルウェアの侵入やハッキング
C45.1 船舶制御システ
ムの舵/機関状態診断機
能の不具合・故障
C45.2 船舶制御システ
ムの舵/機関状態診断ア
ルゴリズムの不具合（自舵/機関の状態の診断の45
己診断演算に時間が掛 ID9と同じ実施が遅すぎる/早すぎる
かり過ぎる）
C45.3 入力情報(舵/機関状態診断に必要な情報)の取得タイミングの誤り
C45.4 マルウェアの侵入やハッキング
C46.1 船舶制御システ
ムの自己診断機能の不具合・故障
C46.2 船舶制御システ
ムの自己診断機能のアル46 自身の状態の診断の誤り ゴリズム間違い
ID7と同じC46.3 入力情報(自己診断に必要な情報)の誤り
C46.4 マルウェアの侵入やハッキング
C47.1 船舶制御システ
ムの自己診断機能の不具合・故障・停止
自身の状態の診断の未 C47.2 入力情報(自己47
ID８と同じ実施
診断に必要な情報)の未取得
C47.3 マルウェアの侵入やハッキングID8と同じ1

5

6 ID43と同じ

1

5

6

ID9と同じ1

6

7 ID43と同じ

1

6

7

ID7と同じ1

5

6 ID13と同じ

1

5

6

ID8と同じ1

5

6 ID13と同じ

1

5

6― 47 ―

48

自身の状態の診断の実施が遅すぎる/早すぎるC48.1 船舶制御システ
ムの自己診断機能の不具合・故障
C48.2 船舶制御システ
ムの自己診断アルゴリズムの不具合（自己診断演
算に時間が掛かり過ぎ
ID9と同じる）
C48.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C48.4 マルウェアの侵入やハッキングID9と同じ1

6

7 ID13と同じ

1

6

7

1

5

6

1

5

6 ID2と同じ

自律運航管理システム
・各システム故障時の警報・ODD入力時のダブル
C49.1 自律運航管理シチェック
ステムの不具合・故障
E49.1 ODD外での自律 ・航路逸脱時の警報
C49.2 自律運航管理シ 操船・操船モード切替指示機
ステムの操船モード切替ア E49.2 航路逸脱
能のシミュレーションによる操船モード切替指示の誤 ルゴリズムの間違い
E49.3 他船/物標、座礁 事前検証
49りC49.3 入力情報(操船 の危険性がある地点に異 ・ウィルス検知ソフトによりモード切替判断に必要な 常接近
ウィルスが検知されていな情報)の誤りE49.4 衝突、座礁、転 いリムーバルメディアのみのC49.4 マルウェアの侵入 覆・沈没
接続、外部ネットワークとやハッキングの未接続・船員による常時監視・船員による手動操船強
制切替

1

5

・操船モード切替アルゴリ
ズムの改良
・システムの信頼性向上
6
策（冗長化等）の検討（費用対効果検討含む）・各システム故障時の警報・一定時間超過時の警告発出・ODD入力時のダブル
チェック・航路逸脱時の警報
・操船モード切替指示機
能のシミュレーションによる事前検証
・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

1

5

6 ID49と同じ

C50.1 自律運航管理シ
ステムの不具合・故障
C50.2 自律運航管理シ
ステムの操船モード切替ア
ルゴリズムの間違い
C50.3 入力情報(操船操船モード切替指示の未50
モード切替判断に必要な ID49と同じ実施情報)の誤りC50.4 マルウェアの侵入やハッキング
C50.5 問い合わせ（本機能起動のトリガー）の未達― 48 ―

C51.1 自律運航管理シ
ステムの不具合・故障
C51.2 自律運航管理シ
ステムの操船モード切替ア
ルゴリズムの不具合（操船モード切替判断の計算に時間が掛かり過ぎる）
操船モード切替指示の実 C51.3 入力情報(操船51
ID49と同じ
施が遅すぎる/早すぎる モード切替判断に必要な情報)の取得タイミングの誤り
C51.4 マルウェアの侵入やハッキング
C51.5 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りC52.1 自律運航管理シ
ステムの自己診断機能の不具合・故障C52.2 自律運航管理シ
ステムの自己診断機能の52 自身の状態の診断の誤り アルゴリズム間違い
ID7と同じC52.3 入力情報(自己診断に必要な情報)の誤り
C52.4 マルウェアの侵入やハッキング
C53.1 自律運航管理シ
ステムの自己診断機能の不具合・故障・停止
自身の状態の診断の未 C53.2 入力情報(自己53
ID８と同じ実施
診断に必要な情報)の未取得
C53.3 マルウェアの侵入やハッキング
C54.1 自律運航管理シ
ステムの自己診断機能の不具合・故障C54.2 自律運航管理シ
ステムの自己診断アルゴリ
ズムの不具合（自己診
自身の状態の診断の実
54
断演算に時間が掛かり過 ID9と同じ
施が遅すぎる/早すぎるぎる）
C54.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C54.4 マルウェアの侵入やハッキング

ID50と同じ

1

5

6 ID49と同じ

1

5

6 ID3と同じ

ID7と同じ1

5

6 ID13と同じ

1

5

6

ID8と同じ1

5

6 ID13と同じ

1

5

6

ID9と同じ1

6

7 ID13と同じ

1

6

7― 49 ―

船員
C55.1 自律操船システ
ムへの過信
C55.2 操作方法の理解不足
C55.3 操船計画の（意図の）把握が困難な
HMI
操船計画の承認、修正 C55.4 自船性能や現在
55
ID1と同じの誤りの自船/周囲/環境等の情報に対する誤った認識
C55.5 自律操船システ
ムの故障
C55.6 操作ミス
C55.7 同時発生タスクによる注意散漫、時間的切迫
C56.1 急病/居眠り、船橋内に船員が居ない等
C56.2 操船計画の承認/修正の必要性の理解不足C56.3 操船計画の承認/修正の必要性の把握が操船計画の承認、修正56
困難なHMI
ID1と同じ
の未実施
C56.4 自律操船システ
ムの故障
C56.5 操作ミス
C56.6 他タスクによる拘束C56.7 承認の必要性の未通達（警告しない）
C57.1 操作方法の理解不足
C57.2 操船計画の（意図の）把握が困難な
HMIのために操船計画の承認/修正に時間が掛かる
C57.3 自船性能や現在操船計画の承認、修正の自船/周囲/環境等の57 の実施が遅すぎる/早すぎID1と同じ情報に対する理解に時間るが掛かり操船計画の承認/修正に時間が掛かる
C57.4 自律操船システ
ムの故障
C57.5 他タスクからの解
放に時間がかかる
C57.6 承認の必要性の未通達（警告しない）

・自律操船システムの操
作方法のマニュアル整備・船員の事前訓練
・適切なHMI設計と検証
・自律操船システム故障時の警報・設定内容の確認通知

・自律操船システムの操
作方法のマニュアル整備・船員の事前訓練
・適切なHMI設計と検証
・自律操船システム故障時の警報・設定内容の確認通知
・一定時間超過時の警告発出・自律操船システムの操
作方法のマニュアル整備・船員の事前訓練
・適切なHMI設計と検証
・自律操船システム故障
時の警報
・適切な時機での承認要求発出・一定時間超過時の警告発出― 50 ―

1

1

1

5

5

5

6

・船員の事前訓練方法の確立

6 ID55と同じ

6・船員の事前訓練方法の確立
・操船計画承認要求アル
ゴリズムの改良

1

1

1

5

※下記は更なる安全性向上に向けた推奨事項
・船員のワークロード管理
6 （発生しうるタスクの量に応じた船員数の確保、自動化の導入などによるリソースの補充）

4※下記は更なる安全性向上に向けた推奨事項
・船員をモニタリングするシ
ステムの必要性の検討
・船員が対応しない場合
5 のオペレーション（MRM/MRC）の検討と実装
・船員のワークロード管理（従事可能な業務の制限等）

5※下記は更なる安全性向上に向けた推奨事項
・船員の対応が遅すぎる場合のオペレーション
6 （MRM/MRC）の検討と実装
・船員のワークロード管理（従事可能な業務の制限等）

C58.1 操船モード切替
機能の不具合・故障
C58.2 船員が操船モード
切替方法に習熟していな
58 操船モード切替の誤り
ID49と同じ
いC58.3 同時発生タスクによる注意散漫/時間的切迫C59.1 急病/居眠り、船橋内に船員が居ない等
C59.2 操船モード切替
操作の必要性の理解不足C59.3 操船モード切替の59 操船モード切替の未実施 把握が困難なHMI
ID49と同じ
C59.4 操船モード切替
機能の不具合・故障
C59.5 操船モード切替
指示が発令されない
C59.6 同時発生タスクによる失念
C60.1 操作方法の理解不足
C60.2 操船モード切替の必要性の把握が困難な
HMIのために操船モード
操船モード切替の実施が 切替に時間が掛かる
60
ID49と同じ
遅すぎる/早すぎる
C60.3 操船モード切替
機能の不具合・故障
C60.4 操船モード切替
指示の発令が遅すぎる
C60.5 同時発生タスクによるリソース不足
C61.1 操船モード切替
機能の故障
C61.2 船員が操船モード
緊急時対応（手動操船
61
切替方法に習熟していな ID1と同じ強制切替）の誤り
いC61.3 他タスクによる注
意散漫、時間的切迫・自律操船システムの操
作方法（操船モード切替方法）のマニュアル整
備・船員の事前訓練
・自律操船システム故障
時の警報

1

6

7 ID55と同じ

1

5

6 ID55と同じ・自律操船システムの操
作方法のマニュアル整備・船員の事前訓練
・適切なHMI設計と検証
・自律操船システム故障
時の警報
・一定時間超過時の警
告発出

1

5

6 ID55と同じ

1

5

6 ID56と同じ

ID59と同じ

1

6

7 ID55と同じ

1

5

6 ID57と同じ・操船モード切替方法のマニュアル整備・船員の事前訓練

1

6

7 ID55と同じ

1

6

7 ID55と同じ― 51 ―

C62.1 自律操船システ
ムへの過信
C62.2 船員が現状が緊急時であることを把握していない（自船性能や現在の自船/周囲/環境等
緊急時対応（手動操船62の情報に対する誤った認 ID1と同じ強制切替）の未実施
識）C62.3 船員が操船モード
切替方法に習熟していな
いC62.4 船員の急病/居眠り/他タスク等
緊急時対応（手動操船
63 強制切替）の実施が遅 ID61と同じ
ID1と同じすぎる/早すぎる・船員の事前訓練・船員が現状を適切に把握できるようなHMI設計と
検証

1

6

7 ID55と同じ

1

5※下記は更なる安全性向上に向けた推奨事項
・船員をモニタリングするシ
6 ステムの必要性の検討
・船員のワークロード管理（従事可能な業務の制限等）

ID61と同じ

1

6

7 ID55と同じ

1

6

7 ID55と同じ― 52 ―

Table 1.8 HAZID WS (フェーズ：離着岸)
Sheet ID: 2
Phase: 離着岸
ID

Hazardハザード
自律操船システム

Causes
原因

Consequences
結果

Existing Safeguards Index(before Recommendation
action)
既存の安全対策
SI FI RI 追加対策

・各システム故障時の警報・各種情報や航海計画
C1.1 入力情報(自船情未入力時の警報
報、他船/漂流物情報、・航海計画入力時のダブ
気象海象情報、離岸目
ルチェック
標位置及び着岸目標位
・自船や他船/漂流物の置等)の未取得や誤りE1.1 岸壁、他船/物
位置飛び時の警報
C1.2 航海計画（所標、座礁の危険性がある ・離着岸操船計画立案
離着岸操船計画の立案 与）の未取得や誤り
1
地点に異常接近アルゴリズムのシミュレーショ
の誤り
C1.3 自律操船システム
E1.2 （単）衝突、座 ンによる事前検証の離着岸操船計画立案
礁、転覆・沈没・ウィルス検知ソフトによりアルゴリズムの誤り
ウィルスが検知されていな
C1.4 自律操船システム
いリムーバルメディアのみのの不具合・故障
接続、外部ネットワークとC1.5 マルウェアの侵入や
の未接続
ハッキング
・船員による常時監視・船員による手動操船強
制切替・各システム故障時の警C2.1 入力情報(自船情報
報、他船/漂流物情報、・各種情報や航海計画
気象海象情報、離岸目
未入力時の警報
標位置及び着岸目標位
・一定時間超過時の警置等)の未取得
告発出C2.2 航海計画（所・シミュレーションによる事
離着岸操船計画の立案 与）の未取得
前検証
2
ID1と同じの未実施
C2.3 自律操船システム
・ウィルス検知ソフトによりの不具合・故障
ウィルスが検知されていな
C2.4 マルウェアの侵入やいリムーバルメディアのみのハッキング
接続、外部ネットワークとC2.5 問い合わせ（本機の未接続
能起動のトリガー）の未・船員による常時監視
達
・船員による手動操船強
制切替― 53 ―

22

5

4・離着岸操船計画立案
アルゴリズムの改良
7 ・システムの信頼性向上
策（冗長化等）（費用対効果検討含む）

6 ID1と同じ

Index(after action)
Comments
SI FI RI コメント

2

2

5

※下記は更なる安全性向上にむけた推奨事項
・出力の検証と検証結果
7 に応じた対処機能の導入（自動化レベルに応じて、人または機械で実装）

4※下記は更なる安全性向上にむけた推奨事項
・問い合わせ元は、応答がなければ、新しい入力
情報で再問い合わせをす
6 る機構にする
・再問い合わせでも応答がない場合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

C3.1 入力情報(自船情報、他船/漂流物情報、
気象海象情報、離岸目
標位置及び着岸目標位
置等)の未取得や誤ったタイミングによる取得
C3.2 自律操船システムの離着岸操船計画立案
離着岸操船計画の立案 アルゴリズムの不具合
3 の実施が遅すぎる/早すぎ （離着岸操船計画立案 ID1と同じ
る
演算に時間が掛かり過ぎる）C3.3 自律操船システムの不具合・故障
C3.4 マルウェアの侵入やハッキング
C3.5 問い合わせ（本機
能起動のトリガー）タイミ
ングの誤り

ID2と同じ・各システム故障時の警報・運航フェーズ切替位置
入力時のダブルチェック
C4.1 運航フェーズ切替
・自船の位置飛び時の警位置（所与）の入力誤報
E4.1 航路逸脱
り・航路逸脱時の警報
E4.2 他船/物標、桟
運航フェーズ切替（離岸 C4.2 入力情報(自船位・シミュレーションによる事
橋、座礁の危険性がある
4 操船→通常航行）の誤 置情報)の誤り
前検証
地点に異常接近りC4.3 自律操船システム
・ウィルス検知ソフトによりE4.3 他船・桟橋との衝の不具合・故障
ウィルスが検知されていな
突、座礁、転覆・沈没
C4.4 マルウェアの侵入やいリムーバルメディアのみのハッキング
接続、外部ネットワークとの未接続
・船員による常時監視・船員による手動操船強
制切替・各システム故障時の警報・運航フェーズ切替位置
や自船位置未入力時のC4.1 運航フェーズ切替
警報
位置（所与）の入力誤・自船の位置飛び時の警りや未入力
報C4.2 入力情報(自船位・航路逸脱時の警報置情報)の入力誤りや未・シミュレーションによる事
運航フェーズ切替（離岸 入力
前検証
5 操船→通常航行）の未 C4.3 自律操船システム ID4と同じ・運航フェーズ切替位置か実施の不具合・故障
らの一定距離超過時のC4.4 マルウェアの侵入や
警告発出
ハッキング
・ウィルス検知ソフトにより
C4.5 問い合わせ（本機ウィルスが検知されていな
能起動のトリガー）の未いリムーバルメディアのみの達
接続、外部ネットワークとの未接続
・船員による常時監視・船員による手動操船強
制切替― 54 ―

2

5

7 ID1と同じ

2

5※下記は更なる安全性向上にむけた推奨事項
・問い合わせ元は、応答が遅ければ、新しい入力
情報で再問い合わせをす
7 る機構にする
・応答が間に合わない場
合の対処機能の導入（自動化レベルに応じて、人または機械で実
装）

2

5

・システムの信頼性向上
7 策（冗長化等）（費用対効果検討含む）

2

5

7

2

4

6 ID4と同じ

2

4

6 ID2と同じ

・システム故障時の警報
・航路逸脱時の警報
・シミュレーションによる事
前検証
・運航フェーズ切替位置からの一定距離超過時の警告発出
・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークとの未接続
・船員による常時監視・船員による手動操船強制切替
・自己診断機能の事前検証
C7.1 自律操船システム
・ウィルス検知ソフトによりの自己診断機能のアルゴ ・異常時に正常と誤診断ウィルスが検知されていな
リズム間違い→ID4と同じいリムーバルメディアのみの
7 自身の状態の診断の誤り C7.2 入力情報(自己診 ・正常時に異常と誤診断
接続、外部ネットワークと断に必要な情報)の誤り →異常警報に基づき手の未接続
C7.3 マルウェアの侵入や 動操船へ切替
・船員による常時監視
ハッキング
・船員による手動操船強制切替
・自己診断機能の事前検証
E8.1 自律操船が適切にC8.1 自律操船システム
・一定時間超過時の警実行されているか判断での自己診断機能の不具告発出きない
合・故障・停止・ウィルス検知ソフトにより・正常時に診断未実施
自身の状態の診断の未 C8.2 入力情報(自己診ウィルスが検知されていな
8→問題無し（一定時間
実施
断に必要な情報)の未取
いリムーバルメディアのみの超過時に警告は発出さ
得
接続、外部ネットワークとれる）C8.3 マルウェアの侵入やの未接続・異常時に診断未実施
ハッキング
・船員による常時監視→ID4と同じ・船員による手動操船強
制切替

C4.1 入力情報(自船位置情報)の取得タイミングの誤り
C4.2 運航フェーズ切替ア
ルゴリズムの不具合（切替演算に時間が掛かり過運航フェーズ切替（離岸ぎる）
6 操船→通常航行）の実ID4と同じC4.3 自律操船システム
施が遅すぎる/早すぎるの不具合・故障
C4.4 マルウェアの侵入やハッキング
C6.5 問い合わせ（本機
能起動のトリガー）タイミ
ングの誤り― 55 ―

2

5

7 ID4と同じ

2

5

7 ID3と同じ

2

5

7 ID4と同じ

2

5

7

2

4

6 ID4と同じ

2

4

6

9

自身の状態の診断の実施が遅すぎる/早すぎる

自船情報統合システム

・正常時に正常と診断す
るのが遅すぎる→問題無し（一定時間C9.1 自律操船システム
超過時に警告は発出さの自己診断機能の不具れる）
合・故障・異常時に異常と診断す
C9.2 自律操船システムるのが遅すぎるの自己診断アルゴリズムの→E9.1 手動操船への切不具合（自己診断演算
ID8と同じ替遅れに時間が掛かり過ぎる）
E9.2 ODD外での自律
C9.3 入力情報(自己診
操船断に必要な情報)の取得
E9.3 航路逸脱
タイミングの誤り
E9.4 岸壁、他船/物C9.4 マルウェアの侵入や標、座礁の危険性がある
ハッキング
地点に異常接近E9.5 （単）衝突、座礁、転覆・沈没・情報統合機能の事前検証
・データに食い違いがある
E10.1 誤った離着岸操 場合の対応方法の組込
C10.1 入力情報の不整
船計画の立案み（どのデータを優先する
合(複数の自船情報センE10.2 誤った制御量の か等）
サの同一種類のデータが計算
・各システム故障時の警異なる、一つもしくは複数
E10.3 運航フェーズ切替 報の古い情報との統合等)の誤り/未実施
・同一種類データが異なる
10 自船情報の統合の誤り C10.2 自船情報統合シ
E10.4 航路逸脱
場合の警告
ステムの情報統合機能のE10.5 他船/物標、岸 ・ウィルス検知ソフトにより不具合・故障、統合アル壁、座礁の危険性がある ウィルスが検知されていな
ゴリズムの誤り
地点に異常接近いリムーバルメディアのみの
C10.3 マルウェアの侵入
E10.6 衝突、座礁、転 接続、外部ネットワークとやハッキング
覆・沈没の未接続
・船員による常時監視・船員による手動操船強
制切替・情報統合機能の事前検証
C11.1 入力情報の不整・データに食い違いがある
合(複数の自船情報セン場合の対応方法の組込
サの同一種類のデータがみ（どのデータを優先する
異なる)か等）
C11.2 自船情報統合シ・各システム故障時の警
ステムの情報統合機能の報
自船情報の統合の未実
11
不具合・故障、統合アル ID10と同じ・同一種類データが異なる
施
ゴリズムの誤り場合の警告
C11.3 マルウェアの侵入・一定時間超過時の警やハッキング
告発出C11.4 問い合わせ（本・ウィルス検知ソフトにより機能起動のトリガー）のウイルスが検知されていな
未達
いリムーバルメディアのみの接続、外部ネットワークとの未接続― 56 ―

2

2

2

5

7 ID4と同じ

4・システムの信頼性向上
策（冗長化等）（費用6 対効果検討含む）
・情報統合アルゴリズムの改良

4

6 ID10と同じ

2

2

2

5

7

4

※下記は更なる安全性向上に向けた推奨事項
6 ・統合情報の信頼度の管理（信頼度評価と低信頼度時の対策の策定）

4※下記は更なる安全性向上に向けた推奨事項
・出力が無い場合の対処機能の導入（当該システ
6
ムの再起動など。機能が停止している場合の対処として、自身の診断とは別に用意）

C12.1 自船情報統合シ E12.1 誤った離着岸操
ステムの情報統合機能/ 船計画の立案
アルゴリズムの不具合
E12.2 誤った制御量の（情報統合に時間が掛 計算
かり過ぎる）
E12.3 誤った位置での運自船情報の統合の実施 C12.2 異なるセンサの情 航フェーズ切替
12
ID11と同じが遅すぎる/早すぎる
報取得タイミングの誤り
E12.3 航路逸脱
C12.3 マルウェアの侵入 E12.4 他船/物標、岸やハッキング
壁、座礁の危険性がある
C12.4 問い合わせ（本 地点に異常接近
機能起動のトリガー）タイ E12.5 衝突、座礁、転ミングの誤り覆・沈没
C13.1 自船情報統合シ
ステムの自己診断機能の不具合・故障C13.2 自船情報統合シ
ステムの自己診断機能の13 自身の状態の診断の誤り アルゴリズム間違い
ID7と同じID7と同じC13.3 入力情報(自己診断に必要な情報)の誤り
C13.4 マルウェアの侵入やハッキング
C14.1 自船情報統合シ
ステムの自己診断機能の不具合・故障・停止
自身の状態の診断の未 C14.2 入力情報(自己14
ID８と同じID8と同じ実施
診断に必要な情報)の未取得
C14.3 マルウェアの侵入やハッキングC15.1 自船情報統合シ
ステムの自己診断機能の不具合・故障C15.2 自船情報統合シ
ステムの自己診断アルゴリ
ズムの不具合（自己診
自身の状態の診断の実
15
断演算に時間が掛かり過 ID9と同じ
ID9と同じ
施が遅すぎる/早すぎるぎる）
C15.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C15.4 マルウェアの侵入やハッキング― 57 ―

2

4※下記は更なる安全性向上に向けた推奨事項
・出力の遅れが大きい場
6
合の対処機能の導入（当該システムの再起動
など）

2

5

7

6 ID13と同じ

2

4

6

7 ID13と同じ

2

5

7

2

4

6 ID10と同じ

2

5

7

2

4

2

5

・自己診断機能のアルゴリ
ズムの改良

C16.1 自船情報統合シ
ステムのセンサ状態診断
機能の不具合・故障
・センサ状態診断機能及C16.2 自船情報統合シ ・異常時に正常と誤診断 びアルゴリズムの事前検証
ステムのセンサ状態診断 →ID10と同じ・ウィルス検知ソフトによりセンサの状態の診断の誤16
機能のアルゴリズム間違い ・正常時に異常と誤診断 ウィルスが検知されていなりC16.3 入力情報(センサ →異常警報に基づき手 いリムーバルメディアのみの状態診断に必要な情報) 動操船へ切替接続、外部ネットワークとの誤りの未接続
C16.4 マルウェアの侵入やハッキング

2

5

7

C17.1 自船情報統合シ
ステムのセンサ状態診断 ・異常時に診断未実施
機能の不具合・故障→ID10と同じセンサの状態の診断の未 C17.2 入力情報(センサ ・正常時に診断未実施
17
実施
状態診断に必要な情報) →問題無し（一定時間の未取得超過時に警告は発出さC17.3 マルウェアの侵入 れる）やハッキング・センサ状態診断機能の事前検証
・一定時間超過時の警報発出・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

2

4

C18.1 自船情報統合シ
ステムのセンサ状態診断
機能の不具合・故障
・正常時に正常と診断す
C18.2 自船情報統合シるのが遅すぎる
ステムのセンサ状態診断ア→問題無し（一定時間
ルゴリズムの不具合（状
センサの状態の診断の実超過時に警告は発出さ
18
態診断演算に時間が掛
施が遅すぎる/早すぎるれる）
かり過ぎる）
・異常時に異常と診断す
C18.3 入力情報(センサ
るのが遅すぎる
状態診断に必要な情報)→ID12と同じの取得タイミングの誤り
C18.4 マルウェアの侵入やハッキング・センサ状態診断機能及びアルゴリズムの事前検証
・一定時間超過時の警報発出・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

2

5

― 58 ―

・センサ状態診断機能のアルゴリズムの改良

2

5

7

6 ID16と同じ

2

4

6

7 ID16と同じ

2

5

7

岸壁距離計測システム
C19.1 岸壁距離計測センサの故障・不具合
C19.2 岸壁距離計測シ
ステムの故障・不具合
E19.1 岸壁への異常接
自船と岸壁との距離の計
19
C19.3 距離センサ→計 近測の誤り測システム間の通信不具 E19.2 岸壁との衝突
合・故障
C19.4 マルウェアの侵入やハッキング・各システム故障時の警報・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークとの未接続
・船員による常時監視・船員による手動操船強制切替

自船と岸壁との距離の計
ID19と同じ
ID19と同じ
ID19と同じ
測の未実施
自船と岸壁との距離の計
21 測の実施が遅すぎる/早 ID19と同じ
ID19と同じ
ID19と同じすぎる
C22.1 岸壁距離計測シ
ステムの不具合・故障
E22.1 実際には接近し
C22.2 岸壁距離計測シていないが、警報が発出さステムの警報発出アルゴリ
れる
近接の場合の警報発出 ズムの間違い
22（実際には接近している ID19と同じの誤り
C22.3 入力情報(警報が、警報が発出されない発出判断に必要な情報)
場合はID23、24を参の誤り
照）
C22.4 マルウェアの侵入やハッキング（実際には接近しているが、警報が発出されない場合）
近接の場合の警報発出
E23.1 操船モード切替の23
ID22と同じ
ID19と同じの未実施
遅延、失敗
E23.2 岸壁への異常接近E23.3 岸壁との衝突

20― 59 ―

2

4・システムの信頼性向上
6 策（冗長化等）（費用対効果検討含む）

2

4

6

2

4

6 ID19と同じ

2

4

6

2

5

7 ID19と同じ

2

5

7

2

4

6 ID19と同じ

2

4

6

2

4

6 ID19と同じ

2

4

6

C24.1 岸壁距離計測シ
・警報発出の適切なタイミ
ステムの不具合・故障
ングの検証
C24.2 岸壁距離計測シ （実際には接近している ・各システム故障時の警
ステムの警報発出アルゴリ が、警報の発出が遅い場 報
ズムの不具合（警報発 合）・ウィルス検知ソフトにより近接の場合の警報発出
出判断の計算に時間が E24.1 操船モード切替の ウィルスが検知されていな
24 の実施が遅すぎる/早すぎ
掛かり過ぎる）
遅延、失敗
いリムーバルメディアのみのる
C24.3 入力情報(警報 E24.2 岸壁への異常接 接続、外部ネットワークと発出判断に必要な情報) 近の未接続の取得タイミングの誤り
E24.3 岸壁との衝突
・船員による常時監視C24.4 マルウェアの侵入・船員による手動操船強やハッキング
制切替
C25.1 岸壁距離計測シ
ステムの自己診断機能の不具合・故障C25.2 岸壁距離計測シ
ステムの自己診断機能の25 自身の状態の診断の誤り アルゴリズム間違い
ID7と同じID7と同じC25.3 入力情報(自己診断に必要な情報)の誤り
C25.4 マルウェアの侵入やハッキング
C26.1 岸壁距離計測シ
ステムの自己診断機能の不具合・故障・停止
自身の状態の診断の未 C26.2 入力情報(自己26
ID８と同じID8と同じ実施
診断に必要な情報)の未取得
C26.3 マルウェアの侵入やハッキング
C27.1 岸壁距離計測シ
ステムの自己診断機能の不具合・故障C27.2 岸壁距離計測シ
ステムの自己診断アルゴリ
ズムの不具合（自己診
自身の状態の診断の実
27
断演算に時間が掛かり過 ID9と同じ
ID9と同じ
施が遅すぎる/早すぎるぎる）
C27.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C27.4 マルウェアの侵入やハッキング― 60 ―

2

4

6 ID19と同じ

2

4

6

2

5

7 ID13と同じ

2

5

7

2

4

6 ID13と同じ

2

4

6

2

5

7 ID13と同じ

2

5

7

C28.1 岸壁距離計測シ
ステムのセンサ状態診断
・異常時に正常と誤診断機能のアルゴリズム間違い→ID19と同じセンサの状態の診断の誤 C28.2 入力情報(センサ28・正常時に異常と誤診断 ID16と同じ
り状態診断に必要な情報)→異常警報に基づき手の誤り
動操船へ切替
C28.3 マルウェアの侵入やハッキング
C29.1 岸壁距離計測シ
ステムのセンサ状態診断 ・異常時に診断未実施
機能の故障→ID19と同じセンサの状態の診断の未 C29.2 入力情報(センサ ・正常時に診断未実施
29
ID17と同じ
実施
状態診断に必要な情報) →問題無し（一定時間の未取得超過時に警告は発出さ
C29.3 マルウェアの侵入 れる）やハッキングC30.1 岸壁距離計測シ
ステムのセンサ状態診断
機能の不具合・故障
・正常時に正常と診断す
C30.2 岸壁距離計測シるのが遅すぎる
ステムのセンサ状態診断ア→問題無し（一定時間
ルゴリズムの不具合（状
センサの状態の診断の実超過時に警告は発出さ
30
態診断演算に時間が掛
ID18と同じ
施が遅すぎる/早すぎるれる）
かり過ぎる）
・異常時に異常と診断す
C30.3 入力情報(センサ
るのが遅すぎる
状態診断に必要な情報)→ID19と同じの取得タイミングの誤り
C30.4 マルウェアの侵入やハッキング
他船/漂流物等情報統合システム― 61 ―

2

5

7 ID16と同じ

2

5

7

2

4

6 ID16と同じ

2

4

6

2

5

7 ID16と同じ

2

5

7

C31.1 入力情報の不整合(複数の他船/漂流物
情報センサの同一種類のE31.1 誤った離着岸操データが異なる、一つもしく船計画の立案は複数の古い情報との統E31.2 他船/物標、座礁
他船/漂流物情報の統 合等)
31の危険性がある地点に異 ID10と同じ合の誤り
C31.2 他船/漂流物情常接近
報統合システムの情報統E31.3 衝突、座礁、転合機能の不具合・故障、
覆・沈没
統合アルゴリズムの誤り
C31.3 マルウェアの侵入やハッキング
C32.1 入力情報の不整合(複数の他船/漂流物
情報センサの同一種類のデータが異なる)
C32.2 他船/漂流物情報統合システムの情報統
他船/漂流物情報の統32
合機能の不具合・故障、 ID31と同じ
ID11と同じ
合の未実施
統合アルゴリズムの誤り
C32.3 マルウェアの侵入やハッキング
C32.4 問い合わせ（本機能起動のトリガー）の未達
C33.1 他船/漂流物情報統合システムの情報統合機能/アルゴリズムの不具合（情報統合に時間が掛かり過ぎる）
他船/漂流物情報の統C33.2 異なるセンサの情
33 合の実施が遅すぎる/早ID31と同じ
ID10と同じ
報取得タイミングの誤り
すぎる
C33.3 マルウェアの侵入やハッキング
C33.4 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りC34.1 他船/漂流物等
情報統合システムの自己診断機能の不具合・故障C34.2 他船/漂流物等
情報統合システムの自己
34 自身の状態の診断の誤り 診断機能のアルゴリズム ID7と同じ
ID7と同じ間違い
C34.3 入力情報(自己診断に必要な情報)の誤り
C34.4 マルウェアの侵入やハッキング― 62 ―

2

4

6 ID10と同じ

2

4

6 ID10と同じ

2

4

6 ID10と同じ

2

4

6 ID11と同じ

2

4

6 ID10と同じ

2

4

6 ID12と同じ

2

5

7 ID13と同じ

2

5

7

C35.1 他船/漂流物等
情報統合システムの自己診断機能の不具合・故
障・停止
自身の状態の診断の未35
C35.2 入力情報(自己 ID８と同じ
ID8と同じ実施
診断に必要な情報)の未取得
C35.3 マルウェアの侵入やハッキング
C36.1 他船/漂流物等
情報統合システムの自己診断機能の不具合・故障C36.2 他船/漂流物等
情報統合システムの自己自身の状態の診断の実 診断アルゴリズムの不具
36
ID9と同じID9と同じ
施が遅すぎる/早すぎる 合（自己診断演算に時間が掛かり過ぎる）
C36.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C36.4 マルウェアの侵入やハッキングC37.1 他船/漂流物等
情報統合システムのセン
サ状態診断機能の不具
合・故障
C37.2 他船/漂流物等 ・異常時に正常と誤診断情報統合システムのセン →ID31と同じセンサの状態の診断の誤37
サ状態診断機能のアルゴ ・正常時に異常と誤診断 ID16と同じり
リズム間違い
→異常警報に基づき手C37.3 入力情報(センサ 動操船へ切替
状態診断に必要な情報)の誤り
C37.4 マルウェアの侵入やハッキング― 63 ―

2

4

6 ID13と同じ

2

4

6

2

5

7 ID13と同じ

2

5

7

2

5

7 ID16と同じ

2

5

7

C38.1 他船/漂流物等
情報統合システムのセン・異常時に診断未実施
サ状態診断機能の不具→ID31と同じ
合・故障センサの状態の診断の未・正常時に診断未実施
38
C38.2 入力情報(センサID17と同じ
実施→問題無し（一定時間
状態診断に必要な情報)
超過時に警告は発出さの未取得れる）
C38.3 マルウェアの侵入やハッキング2

4

6 ID16と同じ

2

4

6

C39.1 他船/漂流物等
情報統合システムのセン
サ状態診断機能の不具合・故障・正常時に正常と診断す
C39.2 他船/漂流物等 るのが遅すぎる
情報統合システムのセン →問題無し（一定時間
センサの状態の診断の実 サ状態診断アルゴリズムの 超過時に警告は発出さ
39
ID18と同じ
施が遅すぎる/早すぎる 不具合（状態診断演算 れる）に時間が掛かり過ぎる） ・異常時に異常と診断す
C39.3 入力情報(センサ るのが遅すぎる
状態診断に必要な情報) →ID31と同じの取得タイミングの誤り
C39.4 マルウェアの侵入やハッキング2

5

7 ID16と同じ

2

5

7

2

4

6 ID10と同じ

2

4

6 ID10と同じ

気象海象情報統合システム
C40.1 入力情報の不整合(複数の気象海象情
報センサの同一種類のデータが異なる、一つもしくは複数の古い情報との統
気象海象情報の統合の 合等)
40
ID31と同じ誤り
C40.2 気象海象情報統合システムの情報統合機
能の不具合・故障、統合
アルゴリズムの誤り
C40.3 マルウェアの侵入やハッキング

ID10と同じ― 64 ―

C41.1 入力情報の不整合(複数の気象海象情
報センサの同一種類のデータが異なる)
C41.2 気象海象情報統合システムの情報統合機
気象海象情報の統合の41
能の不具合・故障、統合 ID31と同じ
未実施
アルゴリズムの誤り
C41.3 マルウェアの侵入やハッキング
C41.4 問い合わせ（本機能起動のトリガー）の未達
C42.1 気象海象情報統合システムの情報統合機
能/アルゴリズムの不具合（情報統合に時間が掛かり過ぎる）
気象海象情報の統合の C42.2 異なるセンサの情42
ID31と同じ
実施が遅すぎる/早すぎる 報取得タイミングの誤り
C42.3 マルウェアの侵入やハッキング
C42.4 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りC43.1 気象海象情報統合システムの自己診断機
能の不具合・故障
C43.2 気象海象情報統合システムの自己診断機
43 自身の状態の診断の誤り 能のアルゴリズム間違い ID7と同じ
C43.3 入力情報(自己診断に必要な情報の誤り)
C43.4 マルウェアの侵入やハッキング
C44.1 気象海象情報統合システムの自己診断機
能の不具合・故障・停止
自身の状態の診断の未 C44.2 入力情報(自己44
ID８と同じ実施
診断に必要な情報)の未取得
C44.3 マルウェアの侵入やハッキングID11と同じ

2

4

6 ID10と同じ

2

4

6 ID11と同じ

ID11と同じ

2

4

6 ID10と同じ

2

4

6 ID12と同じ

ID7と同じ2

5

7 ID13と同じ

2

5

7

ID8と同じ2

4

6 ID13と同じ

2

4

6― 65 ―

C45.1 気象海象情報統合システムの自己診断機
能の不具合・故障
C45.2 気象海象情報統合システムの自己診断ア
ルゴリズムの不具合（自自身の状態の診断の実
45
己診断演算に時間が掛 ID9と同じ
ID9と同じ
施が遅すぎる/早すぎる
かり過ぎる）
C45.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C45.4 マルウェアの侵入やハッキング
C46.1 気象海象情報統合システムのセンサ状態
診断機能の不具合・故障C46.2 気象海象情報統 ・異常時に正常と誤診断合システムのセンサ状態 →ID31と同じセンサの状態の診断の誤46
診断機能のアルゴリズム ・正常時に異常と誤診断 ID16と同じ
り間違い→異常警報に基づき手C46.3 入力情報(センサ 動操船へ切替
状態診断に必要な情報)の誤り
C46.4 マルウェアの侵入やハッキング
C47.1 気象情報統合シ
ステムのセンサ状態診断 ・異常時に診断未実施
機能の不具合・故障→ID31と同じセンサの状態の診断の未 C47.2 入力情報(センサ ・正常時に診断未実施
47
ID17と同じ
実施
状態診断に必要な情報) →問題無し（一定時間の未取得超過時に警告は発出さ
C47.3 マルウェアの侵入 れる）やハッキング― 66 ―

2

5

7 ID13と同じ

2

5

7

2

5

7 ID16と同じ

2

5

7

2

4

6 ID16と同じ

2

4

6

C48.1 気象海象情報統合システムのセンサ状態
診断機能の不具合・故障・正常時に正常と診断す
C48.2 気象海象情報統 るのが遅すぎる
合システムのセンサ状態 →問題無し（一定時間
センサの状態の診断の実 診断アルゴリズムの不具 超過時に警告は発出さ
48
ID18と同じ
施が遅すぎる/早すぎる 合（状態診断演算に時 れる）
間が掛かり過ぎる）
・異常時に異常と診断す
C48.3 入力情報(センサ るのが遅すぎる
状態診断に必要な情報) →ID31と同じの取得タイミングの誤り
C48.4 マルウェアの侵入やハッキング
船舶制御システム
C49.1 離着岸操船計画の誤り・システム故障時の警報
C49.2 入力情報（制御・制御量計算アルゴリズム
量計算に必要な情報）のシミュレーションによる事の誤り
E49.1 航路逸脱
前検証
C49.3 制御量計算アル E49.2 他船/物標、座礁 ・ウィルス検知ソフトにより離着岸操船計画に基づく ゴリズムの誤りの危険性がある地点に異 ウィルスが検知されていな
49
制御量の計算の誤り
C49.3-2 対象船の操縦 常接近
いリムーバルメディアのみの運動モデルの精度不良 E49.3 衝突、座礁、転 接続、外部ネットワークとC49.4 船舶制御システ 覆・沈没の未接続
ムの不具合・故障
・船員による常時監視C49.5 マルウェアの侵入・船員による手動操船強やハッキング
制切替

C50.1 離着岸操船計画の未取得
C50.2 入力情報（制御
量計算に必要な情報）の未取得
離着岸操船計画に基づく C50.3 船舶制御システ
50
ID49と同じ制御量の計算の未実施 ムの不具合・故障
C50.4 マルウェアの侵入やハッキング
C50.5 問い合わせ（本機能起動のトリガー）の未達

・システム故障時の警報・各種情報未取得時の警報・シミュレーションによる事
前検証
・一定時間超過時の警告発出・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークとの未接続
・船員による常時監視・船員による手動操船強
制切替― 67 ―

2

2

2

5

7 ID16と同じ

2

5

7

5

・制御量計算アルゴリズムの改良
・対象船の操縦運動モデ
7 ルの精度確保・システムの信頼性向上
策（冗長化等）（費用対効果検討含む）

2

5

7

4

※下記は更なる安全性向上に向けた推奨事項
・挙動の検証機構の導入（接岸速度の見張りなど）・問い合わせ元は、応答がなければ、新しい入力
6
情報で再問合わせをする
機構にする
・再問合わせでも応答がない場合の対処機能の導入（自動化レベルに応じて、人または機械で実
装）

4

6

・システムの信頼性向上
策（冗長化等）（費用対効果検討含む）

2

C51.1 離着岸操船計画の取得タイミングの誤り
C51.2 入力情報（制御
量計算に必要な情報）・システム故障時の警報の取得タイミングの誤り・シミュレーションによる事
C51.3 制御量計算アル前検証
ゴリズムの不具合（制御・一定時間超過時の警離着岸操船計画に基づく
量計算に時間が掛かり過告発出51 制御量の計算の実施がID49と同じぎる）
・ウィルス検知ソフトにより遅すぎる/早すぎる
C51.4 船舶制御システ
ウィルスが検知されていな
ムの不具合・故障
いリムーバルメディアのみの
C51.5 マルウェアの侵入
接続、外部ネットワークとやハッキングの未接続
C51.6 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りE52.1 航行不能・システムの事前検証
E52.2 航路逸脱
C52.1 制御量計算の誤・アクチュエータ不具合・故E52.3 他船/物標、座礁
り
障時の警報
52 舵/機関の制御の誤りの危険性がある地点に異C52.2 アクチュエータの不・船員による常時監視
常接近
具合・故障
・船員による手動操船強E52.4 衝突、座礁、転
制切替
覆・沈没

C53.1 入力情報(制御量)の未取得C53.2 アクチュエータの不53 舵/機関の制御の未実施 具合・故障
ID52と同じ
C53.3 問い合わせ（本機能起動のトリガー）の未達

・アクチュエータ不具合・故
障時の警報
・制御量未取得時の警報・一定時間超過時の警告発出・船員による常時監視・船員による手動操船強
制切替― 68 ―

2

2

2

5

4

4

7 ID50と同じ

・信頼性向上策（冗長6 化等）（費用対効果検
討含む）

6 ID52と同じ

2

2

2

5

※下記は更なる安全性向上に向けた推奨事項
・挙動の検証機構の導入（接岸速度の見張りなど）・問い合わせ元は、応答が遅ければ、新しい入力
7
情報で再問い合わせをする機構にする・応答が間に合わない場
合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

4※下記は更なる安全性向上に向けた推奨事項
・舵/機関の状態が誤って6いる場合の対処機能の導入（当該システムの再起
動など。）

4

※下記は更なる安全性向上に向けた推奨事項
・舵/機関の制御が行われていない場合の対処機
能の導入（当該システムの再起動など。）
・問い合わせ元は、応答
6 がなければ、新しい入力
情報で再問合わせをする
機構にする
・再問合わせでも応答がない場合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

C54.1 入力情報(制御量)の取得タイミングの誤り
C54.2 アクチュエータの不舵/機関の制御の実施が54
具合・故障
ID52と同じ
遅すぎる/早すぎる
C54.3 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りC55.1 船舶制御システ
ムの舵/機関状態診断機
能の不具合・故障
C55.2 船舶制御システ
ムの舵/機関状態診断機
舵/機関の状態の診断の55
能のアルゴリズム間違い ID7と同じ誤り
C55.3 入力情報(舵/機関状態診断に必要な情報)の誤り
C55.4 マルウェアの侵入やハッキング
C56.1 船舶制御システ
ムの舵/機関状態診断機
能の不具合・故障
舵/機関の状態の診断の C56.2 入力情報(舵/機56
ID8と同じ
未実施
関診断に必要な情報)の未取得
C56.3 マルウェアの侵入やハッキング

ID53と同じ

2

5

7 ID52と同じ

ID7と同じ2

5

7

ID8と同じ2

4

6 ID55と同じ― 69 ―

・舵/機関状態診断機能のアルゴリズムの改良

2

5※下記は更なる安全性向上に向けた推奨事項
・舵/機関の制御の遅れが一定以上の場合の対処機能の導入（当該シ
ステムの再起動など。）
・問い合わせ元は、応答7 が遅ければ、新しい入力
情報で再問い合わせをする機構にする・応答が間に合わない場
合の対処機能の導入（自動化レベルに応じて、人または機械で実
装）

2

5

7

2

4

6

C57.1 船舶制御システ
ムの舵/機関状態診断機
能の不具合・故障
C57.2 船舶制御システ
ムの舵/機関状態診断ア
ルゴリズムの不具合（自舵/機関の状態の診断の57
己診断演算に時間が掛 ID9と同じ実施が遅すぎる/早すぎる
かり過ぎる）
C57.3 入力情報(舵/機関状態診断に必要な情報)の取得タイミングの誤り
C57.4 マルウェアの侵入やハッキング
C58.1 船舶制御システ
ムの自己診断機能の不具合・故障
C58.2 船舶制御システ
ムの自己診断機能のアル58 自身の状態の診断の誤り ゴリズム間違い
ID7と同じC58.3 入力情報(自己診断に必要な情報)の誤り
C58.4 マルウェアの侵入やハッキング
C59.1 船舶制御システ
ムの自己診断機能の不具合・故障・停止
自身の状態の診断の未 C59.2 入力情報(自己59
ID8と同じ実施
診断に必要な情報)の未取得
C59.3 マルウェアの侵入やハッキングC60.1 船舶制御システ
ムの自己診断機能の不具合・故障
C60.2 船舶制御システ
ムの自己診断アルゴリズムの不具合（自己診断演
自身の状態の診断の実
60
算に時間が掛かり過ぎ
ID9と同じ
施が遅すぎる/早すぎるる）
C60.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C60.4 マルウェアの侵入やハッキングID9と同じ2

5

7 ID55と同じ

2

5

7

ID7と同じ2

5

7 ID13と同じ

2

5

7

ID8と同じ2

4

6 ID13と同じ

2

4

6

ID9と同じ2

5

7 ID13と同じ

2

5

7― 70 ―

自律運航管理システム
・各システム故障時の警報・ODD入力時のダブル
C61.1 自律運航管理シチェック
ステムの不具合・故障
E61.1 ODD外での自律 ・航路逸脱時の警報
C61.2 自律運航管理シ 離着岸操船・操船モード切替指示機
ステムの操船モード切替ア E61.2 航路逸脱
能のシミュレーションによる操船モード切替指示の誤 ルゴリズムの間違い
E61.3 他船/物標、座礁 事前検証
61
りC61.3 入力情報(操船 の危険性がある地点に異 ・ウィルス検知ソフトによりモード切替判断に必要な 常接近
ウィルスが検知されていな情報)の誤りE61.4 衝突、座礁、転 いリムーバルメディアのみの
C61.4 マルウェアの侵入 覆・沈没
接続、外部ネットワークとやハッキングの未接続・船員による常時監視・船員による手動操船強
制切替・各システム故障時の警C62.1 自律運航管理シ報
ステムの不具合・故障
・一定時間超過時の警C62.2 自律運航管理シ
告発出
ステムの操船モード切替ア・ODD入力時のダブル
ルゴリズムの間違い
チェック
C62.3 入力情報(操船・航路逸脱時の警報
操船モード切替指示の未62
モード切替判断に必要な ID61と同じ・操船モード切替指示機
実施情報)の誤り能のシミュレーションによるC62.4 マルウェアの侵入
事前検証
やハッキング・ウィルス検知ソフトにより
C62.5 問い合わせ（本ウィルスが検知されていな機能起動のトリガー）のいリムーバルメディアのみの
未達
接続、外部ネットワークとの未接続
C63.1 自律運航管理シ
ステムの不具合・故障
C63.2 自律運航管理シ
ステムの操船モード切替ア
ルゴリズムの不具合（操船モード切替判断の計算に時間が掛かり過ぎる）
操船モード切替指示の実 C63.3 入力情報(操船63
ID61と同じ
ID62と同じ
施が遅すぎる/早すぎる モード切替判断に必要な情報)の取得タイミングの誤り
C63.4 マルウェアの侵入やハッキング
C63.5 問い合わせ（本機能起動のトリガー）タイ
ミングの誤り― 71 ―

25・操船モード切替アルゴリ
ズムの改良
・システムの信頼性向上
7
策（冗長化等）の検討（費用対効果検討含む）2

4

6 ID61と同じ

2

4

6 ID2と同じ

2

5

7 ID61と同じ

2

5

7 ID3と同じ

2

5

7

C64.1 自律運航管理シ
ステムの自己診断機能の不具合・故障C64.2 自律運航管理シ
ステムの自己診断機能の64 自身の状態の診断の誤り アルゴリズム間違い
ID7と同じC64.3 入力情報(自己診断に必要な情報)の誤り
C64.4 マルウェアの侵入やハッキング
C65.1 自律運航管理シ
ステムの自己診断機能の不具合・故障・停止
自身の状態の診断の未 C65.2 入力情報(自己65
ID８と同じ実施
診断に必要な情報)の未取得
C65.3 マルウェアの侵入やハッキング
C66.1 自律運航管理シ
ステムの自己診断機能の不具合・故障C66.2 自律運航管理シ
ステムの自己診断アルゴリ
ズムの不具合（自己診
自身の状態の診断の実
66
断演算に時間が掛かり過 ID9と同じ
施が遅すぎる/早すぎるぎる）
C66.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C66.4 マルウェアの侵入やハッキング
船員
C67.1 自律操船システ
ムへの過信
C67.2 操作方法の理解不足
C67.3 離着岸操船計画の（意図の）把握が困
難なHMI
離着岸操船計画の承C67.4 自船性能や現在
67
ID1と同じ認、修正の誤りの自船/周囲/環境等の情報に対する誤った認識
C67.5 自律操船システ
ムの故障
C67.6 操作ミス
C67.7 同時発生タスクによる注意散漫、時間的切
迫

ID7と同じ2

5

7 ID13と同じ

2

5

7

ID8と同じ2

4

6 ID13と同じ

2

4

6

ID9と同じ2

5

7 ID13と同じ

2

5

7

4

※下記は更なる安全性向上に向けた推奨事項
・船員のワークロード管理
6 （発生しうるタスクの量に応じた船員数の確保、自動化の導入などによるリソースの補充）

・自律操船システムの操
作方法のマニュアル整備・船員の事前訓練
・適切なHMI設計と検証
・自律操船システム故障時の警報・設定内容の確認通知― 72 ―

257・船員の事前訓練方法の確立

2

C68.1 急病/居眠り、船橋内に船員が居ない等
C68.2 離着岸操船計画の承認/修正の必要性の理解不足
C68.3 離着岸操船計画の承認/修正の必要性の
離着岸操船計画の承68
把握が困難なHMI
ID1と同じ認、修正の未実施
C68.4 自律操船システ
ムの故障
C68.5 操作ミス
C68.6 他タスクによる拘束C68.7 承認の必要性の未通達（警告しない）
C69.1 操作方法の理解不足
C69.2 離着岸操船計画の（意図の）把握が困
難なHMIのために操船計
画の承認/修正に時間が掛かる
C69.3 自船性能や現在
離着岸操船計画の承の自船/周囲/環境等の69 認、修正の実施が遅すぎ
ID1と同じ情報に対する理解に時間
る/早すぎるが掛かり操船計画の承認/修正に時間が掛かる
C69.4 自律操船システ
ムの故障
C69.5 他タスクからの解
放に時間がかかる
C69.6 承認の必要性の未通達（警告しない）
C70.1 操船モード切替
機能の不具合・故障
C70.2 船員が操船モード
切替方法に習熟していな
70 操船モード切替の誤り
ID61と同じ
いC70.3 同時発生タスクによる注意散漫/時間的切迫・自律操船システムの操
作方法のマニュアル整備・船員の事前訓練
・適切なHMI設計と検証
・自律操船システム故障時の警報・設定内容の確認通知
・一定時間超過時の警告発出2・自律操船システムの操
作方法のマニュアル整備・船員の事前訓練
・適切なHMI設計と検証
・自律操船システム故障
時の警報
・適切な時機での承認要求発出・一定時間超過時の警告発出2・自律操船システムの操
作方法（操船モード切替方法）のマニュアル整
備・船員の事前訓練
・自律操船システム故障時の警報

2― 73 ―

4

6 ID67と同じ

2

4※下記は更なる安全性向上に向けた推奨事項
・船員をモニタリングするシ
ステムの必要性の検討
・船員が対応しない場合
6 のオペレーション（MRM/MRC）の検討と実装
・船員のワークロード管理（従事可能な業務の制限等）

5・船員の事前訓練方法の確立
7・離着岸操船計画承認
要求アルゴリズムの改良

2

5※下記は更なる安全性向上に向けた推奨事項
・船員の対応が遅すぎる場合のオペレーション
7 （MRM/MRC）の検討と実装
・船員のワークロード管理（従事可能な業務の制限等）

5

7 ID67と同じ

2

5

7 ID67と同じ

C71.1 急病/居眠り、船橋内に船員が居ない等
C71.2 操船モード切替
操作の必要性の理解不足C71.3 操船モード切替の71 操船モード切替の未実施 把握が困難なHMI
ID61と同じ
C71.4 操船モード切替
機能の不具合・故障
C71.5 操船モード切替
指示が発令されない
C71.6 同時発生タスクによる失念
C72.1 操作方法の理解不足
C72.2 操船モード切替の必要性の把握が困難な
HMIのために操船モード
操船モード切替の実施が 切替に時間が掛かる
72
ID61と同じ
遅すぎる/早すぎる
C72.3 操船モード切替
機能の不具合・故障
C72.4 操船モード切替
指示の発令が遅すぎる
C72.5 同時発生タスクによるリソース不足
C73.1 操船モード切替
機能の故障
C73.2 船員が操船モード
緊急時対応（手動操船
73
切替方法に習熟していな ID1と同じ強制切替）の誤り
いC73.3 他タスクによる注
意散漫、時間的切迫・自律操船システムの操
作方法のマニュアル整備・船員の事前訓練
・適切なHMI設計と検証
・自律操船システム故障
時の警報
・一定時間超過時の警
告発出

2

5

7 ID67と同じ

2

4

6 ID68と同じ

ID71と同じ

2

5

7 ID67と同じ

2

5

7 ID69と同じ・操船モード切替方法のマニュアル整備・船員の事前訓練

2

6

8 ID67と同じ

2

5

7 ID67と同じ― 74 ―

C74.1 自律操船システ
ムへの過信
C74.2 船員が現状が緊急時であることを把握していない（自船性能や現在の自船/周囲/環境等
緊急時対応（手動操船74の情報に対する誤った認 ID1と同じ強制切替）の未実施
識）C74.3 船員が操船モード
切替方法に習熟していな
いC74.4 船員の急病/居眠り/他タスク等
緊急時対応（手動操船
75 強制切替）の実施が遅 ID61と同じ
ID1と同じすぎる/早すぎる・船員の事前訓練・船員が現状を適切に把握できるようなHMI設計と
検証

2

5

7 ID67と同じ

2

5※下記は更なる安全性向上に向けた推奨事項
・船員をモニタリングするシ
7 ステムの必要性の検討
・船員のワークロード管理（従事可能な業務の制限等）

ID73と同じ

2

6

8 ID67と同じ

2

5

7 ID67と同じ― 75 ―

付属書 2 無人運航船の実証実験のリスク解析の実施例
無人運航船の実証実験のリスク解析の実施例を以下に示す．以下に記載の通り，ここでは，フェーズとして通常航行（港外航行及び港内航行）と離着岸の 2 つを想定した．更に網羅的なハザード同定の実施が必要な場合は，更に細かくフェーズ分けした上でリスク解析（HAZID）を実施することが望ましいことに留意されたい．
i. 資料の準備
本手順書 4.1 節等に記載した各資料の例を以下に示す．
(0) ConOps
Table 2.1 ConOps●機能の定義本機能は，所与の航海計画を目標とし，逐次発生する他船や漂流物，海気象に由来する外乱等を検知し，事前に定義された行動方針に従って操船計画を立案し，これを実現する機関出力と操舵指令を計算し，本船の速力，針路を出力しながら目標の達成を行う
ものである．
航海計画は，出発地，出発日時，到着地，到着日時，経由地等から構成されるものとする．船上の自律操船システムは航海計画を踏まえて本機能搭載船の操船計画を策定
し，船舶制御システムを介し，操船計画に則った操舵と機関出力の制御を行う．
＜航海計画＞
出発地：XXX 港
出発日時：X 月 X 日 X 時 X 分
到着地：YYY 港
到着日時：Y 月 Y 日 Y 時 Y 分
経由地：ZZZ 港
経由地到着日時：Z 月 Z 日 Z 時 Z 分＜行動方針＞
他船の航行を阻害せず，他船の船員等に恐怖感を与えないよう，適切な避航開始時
期，適切な離隔距離を確保すること．
航海計画を考慮し，到着日時に大幅な遅れが生じないよう，上記の適切な避航開始時
期及び適切な離隔距離を確保しつつ，避航行動にかかる時間は必要最小限に抑えること．
●機能の目的
本機能の目的は，目標としている航海計画の実現において，阻害要因となる外部の障
害物や外乱に対する対応を含む操船計画を立案し，その操船計画に従い、船舶を制御することである．

― 76 ―

●自動化の範囲・操船者（船上乗組員／遠隔オペレータ）との関係
本機能の自動化の範囲は，ClassNK ガイドライン[4]で例示されている分類 II に相当す
る．
障害物に関する情報の収集，統合，操船計画の作成は本機能によって実施される．
操船計画は，本機能によって操舵及び機関の設備に出力される．
以下で述べる本機能の想定使用範囲内では，本機能による自動操船を行い，その範囲
外では，船上の船員が従来通りの方法で操船を行う．
●遠隔制御の範囲・操船者（船上乗組員／遠隔オペレータ）との関係
本機能は，遠隔制御機能を有さない．
●想定使用範囲
船舶：
船名：〇〇〇
船種：フェリー総トン数：199 トン
全長：45m
全幅：9m
航行区域：沿海航路：XXX 港から YYY 港
運航のフェーズ：通常航行中（港内航行及び港外航行）、離着岸●自動運航の方法
本機能を搭載した船舶の自動運航は，想定使用範囲内の航路において，船上の船員から作業を引き継ぎ，船員による動作確認の下，機能を動作させることで行う．想定使用範囲内の航路内の自動運航を完了し，船員へ作業の引渡しを完了するところまでを自動運航の範囲とする．なお，航路の中途において運航設計領域の外に出た場合は，想定使用範囲内であっても船員に作業を引き渡すことで自動運航を終了する．
●当該機能のモニタリング手段
本機能が収集したセンサ情報，統合されたセンサ情報，作成された操船計画，運航設
計領域内における本船の位置づけは，全て船内の専用モニタリング装置によって，船員に対して常時提供される．
●自動運航中に運航設計領域から外れた場合の対応手順
運航設計領域から外れたことは，本機能によって検知され船内警報により船員に通知される．船員は決められた手順で，操船モードを自律操船モードから手動操船モードへ
切替えることで，操船権は船員に引き継がれる．
(1) 自動化システムの機能要求（自動化の対象タスク・サブタスク）― 77 ―

Table 2.2
ID

自動化システムの機能要求（フェーズ：通常航行）

要素名

タスク

サブタスク
・自船の統合情報の取得

1・操船計画の立案

・他船/漂流物等の統合情報の取得

自律操船シ・運航フェーズ切替（通・気象海象の統合情報の取得

ステム

常航行→着岸操船）・航行安全性&経済性の計算

・自身の状態の診断

・操船計画の提示
・自身の状態判断に必要な情報の取得
・自船情報の取得

自船情報統
2

合システム

・自船情報の統合

・自身の状態診断に必要な情報の取得

・自身の状態の診断

・センサの状態診断に必要な情報の取得

・センサの状態の診断

・統合情報、自身の状態、センサの状態の送信
・他船/漂流物情報の取得

他船/漂流物
3

等情報統合
システム

・他船/漂流物情報の統・自身の状態の診断に必要な情報の取得

合・センサの状態の診断に必要な情報の取・自身の状態の診断

得・センサの状態の診断

・統合情報、自身の状態、センサの状態の送信
・気象海象情報（現在地）の取得
・気象海象予測情報の取得

4

気象海象情

・気象海象情報の統合

・自身の状態の診断に必要な情報の取得

報統合シス

・自身の状態の診断

・センサの状態の診断に必要な情報の取テム・センサの状態の診断

得・統合情報、自身の状態、センサの状態
の送信

船舶制御シ
5

ステム

・操船計画に基づく制御・操船計画の取得

量の計算

・実船の位置の取得

・舵/機関の制御・操船計画と自船の位置との偏差計算

・舵/機関の状態の診断

・制御閾値との現在状態の比較

・自身の状態の診断

・舵/機関の状態、自身の状態の送信
・自船情報、他船/漂流物情報、気象海象

6

自律運航管

・操船モード切替指示

理システム

・自身の状態の診断

情報の取得
・各システムの状態の情報の取得
・ODD 内外判定
・自身の状態の診断に必要な情報の取得― 78 ―

（昇橋直前）・自律運航管理システム
からの指示に基づく昇橋
（昇橋後）
7

船員

・自律運航管理システムの運航モード切替指示の確認・現在状況の把握・システムからの操船モード切替指示に基づく操・自船情報、他船/漂流物情報、気象海象
情報の確認

船モード切替・手動操船・各システム、周辺状況
8

シャドー要

等の常時モニタリング

員・緊急時対応（手動操船
強制切替）
Table 2.3 自動化システムの機能要求（フェーズ：離着岸）

ID

要素名

タスク

サブタスク
・自船の統合情報の取得

1・離着岸操船計画の立案

・他船/漂流物等の統合情報の取得

自律操船シ・運航フェーズ切替（離・気象海象の統合情報の取得

ステム

岸操船→通常航行）・航行安全性&経済性の計算

・自身の状態の診断

・離着岸操船計画の提示
・自身の状態判断に必要な情報の取得
・自船情報の取得

自船情報統
2

合システム

・自船情報の統合

・自身の状態診断に必要な情報の取得

・自身の状態の診断

・センサの状態診断に必要な情報の取得

・センサの状態の診断

・統合情報、自身の状態、センサの状態の
送信・自船と岸壁との距離の
岸壁距離計
3

測システム

計測
・近接の場合の警報発出
・自身の状態の診断
・センサの状態の診断

他船/漂流物
4

等情報統合
システム

・他船/漂流物情報の統合・岸壁位置の取得
・自船位置の取得
・自身の状態診断に必要な情報の取得
・センサの状態診断に必要な情報の取得
・他船/漂流物情報の取得
・自身の状態の診断に必要な情報の取得

・自身の状態の診断
・センサの状態の診断

・センサの状態の診断に必要な情報の取得― 79 ―

・統合情報、自身の状態、センサの状態の
送信
・気象海象情報（現在地）の取得

5

気象海象情

・気象海象情報の統合

報統合シス

・自身の状態の診断

テム

・センサの状態の診断

・気象海象予測情報の取得
・自身の状態の診断に必要な情報の取得
・センサの状態の診断に必要な情報の取得
・統合情報、自身の状態、センサの状態の
送信・離着岸操船計画に基づ
船舶制御シ
6

ステム

く制御量の計算

・離着岸操船計画の取得
・実船の位置の取得
・離着岸操船計画と自船の位置との偏差計

・舵/機関の制御
・舵/機関の状態の診断
・自身の状態の診断

算・制御閾値との現在状態の比較
・舵/機関の状態、自身の状態の送信
・自船情報、他船/漂流物情報、気象海象

7

自律運航管

・操船モード切替指示

理システム

・自身の状態の診断

情報、岸壁距離の取得
・各システムの状態の情報の取得
・ODD 内外判定
・自身の状態の診断に必要な情報の取得（昇橋直前）
・自律運航管理システム

8船員

からの指示に基づく昇橋※下記は現在状況の把握に含まれる（？）（昇橋後）・自律運航管理システムの運航モード切替

・現在状況の把握

指示の確認

・システムからの操船モ・自船情報、他船/漂流物情報、気象海象

ード切替指示に基づく操情報、距岸距離の確認

船モード切替・手動操船・各システム、周辺状況
9

シャドー要

等の常時モニタリング

員・緊急時対応（手動操船
強制切替）(2) 自動化システムの全体像がわかるようなシステムアーキテクチャ― 80 ―

Figure 2.1 システムアーキテクチャ（フェーズ：通常航行）― 81 ―

Figure 2.2 システムアーキテクチャ（フェーズ：離着岸）(3) 自動化システムの内部動作の概要― 82 ―

Figure 2.3 操船に関する内部動作の概要（フェーズ：通常航行）

Figure 2.4 操船モード判断に関する内部動作の概要（フェーズ：通常航行）― 83 ―

Figure 2.5 操船に関する内部動作の概要（フェーズ：離着岸）

Figure 2.6 操船モード判断に関する内部動作の概要（フェーズ：離着岸）(4) 自動化システムと人間の役割分担の概要― 84 ―

Table 2.4
自律操
Task

船シス
テム

自動化システムと人間の役割分担の概要（フェーズ：通常航行）
自船情
報統合
システ
ム

他船/漂
流物等
情報統
合シス
テム

気象海
象情報
統合シ
ステム

船舶制
御シス
テム

自律運
航管理
システ

シャド
ー要員

ム

運航フ
ェーズ

船員

②モニ
①切替

タリン

切替

グ

自船の

①情報

②モニ

情報取

取得/統

タリン

合

グ

得
他船/漂
流物等
の情報
取得

①情報

②モニ

取得/統

タリン

合

グ

気海象

①情報

②モニ

の情報

取得/統

タリン

取得

合

グ

（避
航）操
船計画

②モニ
①立案

タリン
グ

の立案
（避

②モニ

航）操

①実行

船の実

タリン
グ

行
関連セ

②モニ

ンサの

①状態

①状態

①状態

状態診

診断

診断

診断

①状態

①状態

①状態

①状態

①状態

①状態

診断

診断

診断

診断

診断

診断

タリン
グ

断
自身の
状態診
断

― 85 ―②モニタリン
グ

ODD 内
外判定

②モニ

①判定

&操船

タリン

&決定

モード

グ

決定
操船モ

②昇橋

ード切
替要求

①モー

③現状

⑤モニ

ド切替

把握

タリン

要求

④モー

グ

&操船
モード

ド切替

切替

①モニ
タリン

手動操

グ

船強制

②手動

切替

操船切
替
Table 2.5
自律操

Task

船シス
テム

自動化システムと人間の役割分担の概要（フェーズ：離着岸）
自船情
報統合
システ
ム

他船/
漂流物
等情報
統合シ
ステム

気象海

岸壁距

象情報

離計測

統合シ

システ

ステム

ム

運航フ
ェーズ

船舶制
御シス
テム

自律運
航管理
システ

船員

シャド
ー要員

ム
②モニ

①切替

タリン

切替

グ

自船の

①情報

②モニ

情報取

取得/

タリン

得

統合

グ

他船/
漂流物
等の情
報取得

①情報

②モニ

取得/

タリン

統合

グ

― 86 ―

気海象

①情報

②モニ

の情報

取得/

タリン

取得

統合

グ

岸壁距

②モニ

離の計

①計測

タリン

測

グ

離着岸
操船計
画の立

②モニ
①立案

タリン
グ

案
離着岸

②モニ

操船の

①実行

タリン

実行

グ

関連セ

②モニ

ンサの

①状態

①状態

①状態

①状態

状態診

診断

診断

診断

診断

①状態

①状態

①状態

①状態

①状態

①状態

①状態

診断

診断

診断

診断

診断

診断

診断

タリン
グ

断
自身の
状態診
断

②モニ
タリン
グ

ODD
内外判

②モニ

①判定

定&操

タリン

&決定

船モー

グ

ド決定
操船モ

②昇橋

ード切
替要求
&操船
モード

①モー

③現状

⑤モニ

ド切替

把握

タリン

要求

④モー

グ

ド切替

切替

①モニ

手動操

タリン

船強制

グ

切替

②手動

― 87 ―

操船切
替(5) 自動化システムの運航設計領域
Table 2.6 自動化システムの運航設計領域
海域条件
航行区域
離着桟する港内水域指定された航路
港内での方向転換に必要な占用水域があること:: 3L の占用水域離着桟する桟橋水域

離着岸に必要な占用水域があること::0.5L の占用水域

輻輳度低い輻輳状態::3nm レンジ内に 5 隻まで

AIS 非搭載船及び障害物システムが感知できない AIS 非搭載船や障害物等が無い
こと::700m 以内に大きさ 1m 以下の危険な障害物が無い

環境条件
気象海象
時刻

平穏な状態:: 風速 7m/s 以下，波高 1.5m 以下，視程500m 以上
終日

内部状態
システム状態

正常に稼働していること:: エラーの表示無し

運航に必要な機器

正常に稼働していること:: エラーの表示無し

船体動揺

船体の設計上の制約の範囲内:: 異常値の表示無し

その他

緊急事態に相当する事象が発生していない:: 船内火災，
船外火災，落水，緊急信号傍受等が生じていない(6) 実証実験の内容
・実験目的：開発中の自動運航システムを搭載した船舶を実海域にて運航させることで，自動運航システムの改良すべき点の抽出を行う
・実験航路：XXX 港～YYY 港
・実験日時：〇〇年××月□□日・シャドー要員： 本機能による自動操船中，常時見張りと動作の確認を行い，異常等が見られた際にフォールバックを実施する．なお，シャドー要員は常時、船橋に存在するものとする．
・船上乗組員（船員）：本機能による自動操船中も居室に滞在するものとする．自律運航管理システムからの警報が発動した場合は、昇橋し手動操船に切り替え、操船を実施する．
・乗客：本船は，旅客船であるが，実験は乗客を搭乗させずに実施する．

― 88 ―

ii. リスク解析
i.で示した資料の無人運航船の実証実験に対してリスク解析（HAZID）を実施した結果を纏めた HAZID WS の例を Table 2.7 と Table 2.8 に示す．
なお，FI (Freqeuency Index)，SI (Severity
Index)，RI (Risk Index)の定義は，本手順書 5.3 節に記載と同じものを使用した．

― 89 ―

Table 2.7 HAZID WS (フェーズ：通常航行)
Sheet ID: 1
Phase: 通常航行
ID

Hazardハザード
自律操船システム1 操船計画の立案の誤り

Causes
原因

Consequences
結果

C1.1 入力情報（自船
情報、他船/漂流物情報、気象海象情報等）の未取得や誤りC1.2 航海計画（所与）の未取得や誤り
C1.3 自律操船システムの操船計画立案アルゴリ
ズムの誤り
C1.4 自律操船システムの不具合・故障
C1.5 マルウェアの侵入やハッキング

・各システム故障時の警報・各種情報や航海計画
未入力時の警報
・航海計画入力時のダブ
ルチェック
E1.1 他船/物標、座礁・自船や他船/漂流物のの危険性がある地点に異位置飛び時の警報
常接近・操船計画立案アルゴリズ
E1.2 衝突、座礁、転ムのシミュレーションによる
覆・沈没
事前検証
・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークとの未接続

C2.1 入力情報（自船
情報、他船/漂流物情報、気象海象情報等）の未取得
C2.2 航海計画（所操船計画の立案の未実 与）の未取得
2
ID1と同じ施
C2.3 自律操船システムの不具合・故障
C2.4 マルウェアの侵入やハッキング
C2.5 問い合わせ(本機
能起動のトリガー)の未達

Existing Safeguards Index(before Safeguards
action)at Trial
既存の安全対策
SI FI RI 実験時の追加対策

・各システム故障時の警報・各種情報や航海計画
未入力時の警報
・一定時間超過時の警告発出・シミュレーションによる事
前検証
・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

1

1

5

5

― 90 ―・シャドー要員による常時
監視
・シャドー要員によるテイク
オーバー
6・操船切替等に関するシャドー要員の事前訓練
・不具合や異常発生時は実験中止

6 ID1と同じ

Index(after action)
Emergency Plan
SI FI RI 緊急時計画

1

1

Comments
コメント（商用運航に向けた安全対策等）

5・操船計画立案アルゴリズムの①故障時や異常時は警報発改良令。または、シャドー要員の常・システムの信頼性向上策
時監視で異常・不具合を検（冗長化等）の検討（費用知。
6
対効果検討含む）②シャドー要員の判断で手動・出力の検証と検証結果に応操船へ切替じた対処機能の導入（自動※必要な場合、緊急時計画化レベルに応じて、人または機の詳細は別途準備械で実装）

5・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・問い合わせ元は、応答がなけ
れば、新しい入力情報で再問
い合わせをする機構にする
・再問い合わせでも応答がない
場合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

6 ID1と同じ

C3.1 入力情報（自船
情報、他船/漂流物情報、気象海象情報等）の未取得や誤ったタイミン
グでの取得
C3.2 自律操船システムの操船計画立案アルゴリ
ズムの不具合（操船計
操船計画の立案の実施
3
画立案演算に時間が掛 ID1と同じが遅すぎる/早すぎる
かり過ぎる）
C3.3 自律操船システムの不具合・故障
C3.4 マルウェアの侵入やハッキング
C3.5 問い合わせ(本機
能起動のトリガー)タイミン
グの誤り

1

5

6 ID1と同じ

1

5

6 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・問い合わせ元は、応答が遅ければ、新しい入力情報で再問い合わせをする機構にする・応答が間に合わない場合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

・各システム故障時の警報C4.1 運航フェーズ切替・運航フェーズ切替位置
位置（所与）の入力誤
入力時のダブルチェック
りE4.1 航路逸脱
・自船の位置飛び時の警C4.2 入力情報(自船位 E4.2 他船/物標、桟報
運航フェーズ切替（通常置情報)の誤り橋、座礁の危険性がある ・航路逸脱時の警報
4 航行→着岸操船）の誤C4.3 自律操船システム 地点に異常接近・シミュレーションによる事りの不具合・故障
E4.3 他船・桟橋との衝 前検証
C4.4 マルウェアの侵入や 突、座礁、転覆・沈没・ウィルス検知ソフトによりハッキング
ウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

1

5

6 ID1と同じ

1

5

6 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）

・各システム故障時の警報・運航フェーズ切替位置
や自船位置未入力時の警報
・自船の位置飛び時の警報・航路逸脱時の警報
・シミュレーションによる事
前検証
・運航フェーズ切替位置からの一定距離超過時の警告発出
・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID2と同じC5.1 運航フェーズ切替
位置（所与）の入力誤
りや未入力
C5.2 入力情報（自船位置情報）の入力誤り
運航フェーズ切替（通常や未入力
5 航行→着岸操船）の未ID4と同じC5.3 自律操船システム
実施の不具合・故障
C5.4 マルウェアの侵入やハッキング
C5.5 問い合わせ(本機
能起動のトリガー)の未達

ID2と同じ― 91 ―

C6.1 入力情報(自船位置情報)の取得タイミング・システム故障時の警報の誤り
・航路逸脱時の警報
C6.2 運航フェーズ切替ア・シミュレーションによる事
ルゴリズムの不具合（切前検証
替演算に時間が掛かり過・運航フェーズ切替位置か
運航フェーズ切替（通常ぎる）
らの一定距離超過時の6 航行→着岸操船）の実
ID4と同じC6.3 自律操船システム
警告発出
施が遅すぎる/早すぎるの不具合・故障・ウィルス検知ソフトにより
C6.4 マルウェアの侵入やウィルスが検知されていな
ハッキング
いリムーバルメディアのみの
C6.5 問い合わせ(本機接続、外部ネットワークと能起動のトリガー)タイミン
の未接続
グの誤り
C7.1 自律操船システム
・自己診断機能の事前の自己診断機能のアルゴ ・異常時に正常と誤診断 検証
リズム間違い→ID4と同じ・ウィルス検知ソフトにより7 自身の状態の診断の誤り C7.2 入力情報(自己診 ・正常時に異常と誤診断 ウィルスが検知されていな断に必要な情報)の誤り →異常警報に基づき手 いリムーバルメディアのみのC7.3 マルウェアの侵入や 動操船へ切替接続、外部ネットワークと
ハッキング
の未接続
・自己診断機能の事前C8.1 自律操船システム
検証の自己診断機能の不具 ・正常時に診断未実施
・一定時間超過時の警合・故障・停止→問題無し（一定時間
告発出自身の状態の診断の未 C8.2 入力情報(自己診 超過時に警告は発出さ
8・ウィルス検知ソフトにより実施
断に必要な情報)の未取 れる）
ウィルスが検知されていな
得・異常時に診断未実施
いリムーバルメディアのみの
C8.3 マルウェアの侵入や →ID4と同じ接続、外部ネットワークと
ハッキング
の未接続
・正常時に正常と診断す
るのが遅すぎる→問題無し（一定時間C9.1 自律操船システム
超過時に警告は発出さの自己診断機能の不具れる）
合・故障・異常時に異常と診断す
C9.2 自律操船システムるのが遅すぎるの自己診断アルゴリズムの→E9.1 手動操船への切自身の状態の診断の実 不具合（自己診断演算9
替遅れ
ID8と同じ
施が遅すぎる/早すぎる に時間が掛かり過ぎる）
E9.2 ODD外での自律
C9.3 入力情報(自己診
操船断に必要な情報)の取得
E9.3 航路逸脱
タイミングの誤り
E9.4 他船/物標、座礁
C9.4 マルウェアの侵入やの危険性がある地点に異
ハッキング
常接近
E9.5 他船との衝突、座礁、転覆・沈没

156 ID1と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID4と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID4と同じ― 92 ―

ID3と同じID4と同じ自船情報統合システム
・情報統合機能の事前検証
E10.1 誤った（避航）C10.1 入力情報の不整・データに食い違いがある
操船計画の立案
合(複数の自船情報セン場合の対応方法の組込
E10.2 誤った制御量のサの同一種類のデータがみ（どのデータを優先する
計算
異なる、一つもしくは複数か等）
E10.3 運航フェーズ切替の古い情報との統合等)
・各システム故障時の警の誤り/未実施
10 自船情報の統合の誤り C10.2 自船情報統合シ報
E10.4 航路逸脱
ステムの情報統合機能の・同一種類データが異なる
E10.5 他船/物標、座礁
不具合・故障、統合アル場合の警告の危険性がある地点に異ゴリズムの誤り・ウィルス検知ソフトにより常接近
C10.3 マルウェアの侵入ウイルスが検知されていな
E10.6 衝突、座礁、転やハッキングいリムーバルメディアのみの
覆・沈没
接続、外部ネットワークとの未接続
・情報統合機能の事前検証
・データに食い違いがある
C11.1 入力情報(複数場合の対応方法の組込の自船情報センサの同一み（どのデータを優先する
種類のデータが異なる)
か等）
C11.2 自船情報統合シ・各システム故障時の警
ステムの情報統合機能の報
自船情報の統合の未実 不具合・故障、統合アル11
ID10と同じ・同一種類データが異なる
施
ゴリズムの誤り場合の警告
C11.3 マルウェアの侵入・一定時間超過時の警やハッキング
告発出C11.4 問い合わせ（本・ウィルス検知ソフトにより機能起動のトリガー）のウイルスが検知されていな
未達
いリムーバルメディアのみの接続、外部ネットワークとの未接続
C12.1 自船情報統合シ E12.1 誤った（避航）ステムの情報統合機能/ 操船計画の立案
アルゴリズムの不具合
E12.2 誤った制御量の（情報統合に時間が掛 計算
かり過ぎる）
E12.3 誤った位置での運自船情報の統合の実施 C12.2 異なるセンサの情 航フェーズ切替
12
ID11と同じが遅すぎる/早すぎる
報取得タイミングの誤り
E12.4 航路逸脱
C12.3 マルウェアの侵入 E12.5 他船/物標、座礁やハッキングの危険性がある地点に異C12.4 問い合わせ（本 常接近機能起動のトリガー）タイ E12.6 衝突、座礁、転ミングの誤り覆・沈没
C13.1 自船情報統合シ
ステムの自己診断機能の不具合・故障C13.2 自船情報統合シ
ステムの自己診断機能の13 自身の状態の診断の誤り アルゴリズム間違い
ID7と同じID7と同じC13.3 入力情報(自己診断に必要な情報)の誤り
C13.4 マルウェアの侵入やハッキング

1

1

5

4

6 ID1と同じ

5 ID1と同じ

1

1

5

4

6 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・情報統合アルゴリズムの改良
・統合情報の信頼度の管理（信頼度評価と低信頼度時の対策の策定）5 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・情報統合アルゴリズムの改良
・出力が無い場合の対処機能の導入（当該システムの再起動など。機能が停止している場合の対処として、自身の診断とは別に用意）1

5

6 ID1と同じ

1

5

6 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・情報統合アルゴリズムの改良
・出力の遅れが大きい場合の対処機能の導入（当該シス
テムの再起動など）

1

5

6 ID1と同じ

1

5

6 ID1と同じ・自己診断機能のアルゴリズムの改良― 93 ―

14

15

自身の状態の診断の未実施

C14.1 自船情報統合シ
ステムの自己診断機能の不具合・故障・停止
C14.2 入力情報(自己ID８と同じ
診断に必要な情報)の未取得
C14.3 マルウェアの侵入やハッキングID8と同じ1

5

6 ID１と同じ

1

5

6 ID1と同じ

ID13と同じ自身の状態の診断の実施が遅すぎる/早すぎるC15.1 自船情報統合シ
ステムの自己診断機能の不具合・故障C15.2 自船情報統合シ
ステムの自己診断アルゴリ
ズムの不具合（自己診
断演算に時間が掛かり過 ID9と同じぎる）
C15.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C15.4 マルウェアの侵入やハッキングID9と同じ1

5

6 ID1と同じ

1

5

6 ID１と同じ

ID13と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ・センサ状態診断機能のアルゴ
リズムの改良C16.1 自船情報統合シ
ステムのセンサ状態診断
機能の不具合・故障
・センサ状態診断機能及C16.2 自船情報統合シ ・異常時に正常と誤診断 びアルゴリズムの事前検証
ステムのセンサ状態診断 →ID10と同じ・ウィルス検知ソフトによりセンサの状態の診断の誤16
機能のアルゴリズム間違い ・正常時に異常と誤診断 ウィルスが検知されていなりC16.3 入力情報(センサ →異常警報に基づき手 いリムーバルメディアのみの状態診断に必要な情報) 動操船へ切替接続、外部ネットワークとの誤りの未接続
C16.4 マルウェアの侵入やハッキング― 94 ―

C17.1 自船情報統合シ
ステムのセンサ状態診断 ・異常時に診断未実施
機能の不具合・故障→ID10と同じセンサの状態の診断の未 C17.2 入力情報(センサ ・正常時に診断未実施
17
実施
状態診断に必要な情報) →問題無し（一定時間の未取得超過時に警告は発出さC17.3 マルウェアの侵入 れる）やハッキング・センサ状態診断機能の事前検証
・一定時間超過時の警報発出・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークとの未接続

C18.1 自船情報統合シ
ステムのセンサ状態診断
機能の不具合・故障
・センサ状態診断機能及・正常時に正常と診断す
C18.2 自船情報統合シびアルゴリズムの事前検証
るのが遅すぎる
ステムのセンサ状態診断ア・一定時間超過時の警→問題無し（一定時間
ルゴリズムの不具合（状
報発出
センサの状態の診断の実超過時に警告は発出さ
18
態診断演算に時間が掛・ウィルス検知ソフトにより施が遅すぎる/早すぎるれる）
かり過ぎる）
ウィルスが検知されていな・異常時に異常と診断す
C18.3 入力情報(センサいリムーバルメディアのみのるのが遅すぎる
状態診断に必要な情報)
接続、外部ネットワークと→ID12と同じの取得タイミングの誤りの未接続
C18.4 マルウェアの侵入やハッキング
他船/漂流物等情報統合システム
C19.1 入力情報の不整合(複数の他船/漂流物
情報センサの同一種類のE19.1 誤った（避航）データが異なる、一つもしく操船計画の立案は複数の古い情報との統E19.2 他船/物標、座礁
他船/漂流物情報の統 合等)
19の危険性がある地点に異 ID10と同じ合の誤り
C19.2 他船/漂流物情常接近
報統合システムの情報統E19.3 衝突、座礁、転合機能の不具合・故障、
覆・沈没
統合アルゴリズムの誤り
C19.3 マルウェアの侵入やハッキング1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID16と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID16と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID10と同じ― 95 ―

C20.1 入力情報の不整合(複数の他船/漂流物
情報センサの同一種類のデータが異なる)C20.2 他船/漂流物情報統合システムの情報統
他船/漂流物情報の統20
合機能の不具合・故障、 ID19と同じ合の未実施
統合アルゴリズムの誤り
C20.3 マルウェアの侵入やハッキング
C20.4 問い合わせ（本機能起動のトリガー）の未達
C21.1 他船/漂流物情報統合システムの情報統合機能/アルゴリズムの不具合（情報統合に時間が掛かり過ぎる）
他船/漂流物情報の統C21.2 異なるセンサの情
21 合の実施が遅すぎる/早ID19と同じ
報取得タイミングの誤り
すぎる
C21.3 マルウェアの侵入やハッキング
C21.4 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りC22.1 他船/漂流物等
情報統合システムの自己診断機能の不具合・故障C22.2 他船/漂流物等
情報統合システムの自己
22 自身の状態の診断の誤り 診断機能のアルゴリズム ID7と同じ間違い
C22.3 入力情報(自己診断に必要な情報)の誤り
C22.4 マルウェアの侵入やハッキング
C23.1 他船/漂流物等
情報統合システムの自己診断機能の不具合・故
障・停止
自身の状態の診断の未23
C23.2 入力情報(自己 ID８と同じ実施
診断に必要な情報)の未取得
C23.3 マルウェアの侵入やハッキングID11と同じ

1

4

5 ID1と同じ

1

4

5 ID1と同じ

ID11と同じ

ID11と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID12と同じ

ID7と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID13と同じ

ID8と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID13と同じ― 96 ―

24

自身の状態の診断の実施が遅すぎる/早すぎるC24.1 他船/漂流物等
情報統合システムの自己診断機能の不具合・故障C24.2 他船/漂流物等
情報統合システムの自己診断アルゴリズムの不具
ID9と同じ合（自己診断演算に時間が掛かり過ぎる）
C24.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C24.4 マルウェアの侵入やハッキングID9と同じC25.1 他船/漂流物等
情報統合システムのセン
サ状態診断機能の不具
合・故障
C25.2 他船/漂流物等 ・異常時に正常と誤診断情報統合システムのセン →ID19と同じセンサの状態の診断の誤25
サ状態診断機能のアルゴ ・正常時に異常と誤診断 ID16と同じり
リズム間違い
→異常警報に基づき手C25.3 入力情報(センサ 動操船へ切替
状態診断に必要な情報)の誤り
C25.4 マルウェアの侵入やハッキング
C26.1 他船/漂流物等
情報統合システムのセン・異常時に診断未実施
サ状態診断機能の不具→ID19と同じ
合・故障センサの状態の診断の未・正常時に診断未実施
26
C26.2 入力情報(センサID17と同じ
実施→問題無し（一定時間
状態診断に必要な情報)
超過時に警告は発出さの未取得れる）
C26.3 マルウェアの侵入やハッキング1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID13と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID16と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID16と同じ― 97 ―

C27.1 他船/漂流物等
情報統合システムのセン
サ状態診断機能の不具合・故障・正常時に正常と診断す
C27.2 他船/漂流物等 るのが遅すぎる
情報統合システムのセン →問題無し（一定時間
センサの状態の診断の実 サ状態診断アルゴリズムの 超過時に警告は発出さ
27
ID18と同じ
施が遅すぎる/早すぎる 不具合（状態診断演算 れる）に時間が掛かり過ぎる） ・異常時に異常と診断す
C27.3 入力情報(センサ るのが遅すぎる
状態診断に必要な情報) →ID19と同じの取得タイミングの誤り
C27.4 マルウェアの侵入やハッキング1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID16と同じ

ID10と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID10と同じ

ID11と同じ

1

4

5 ID1と同じ

1

4

5 ID1と同じ

ID11と同じ

気象海象情報統合システム
C28.1 入力情報の不整合(複数の気象海象情
報センサの同一種類のデータが異なる、一つもしくは複数の古い情報との統
気象海象情報の統合の 合等)
28
ID19と同じ誤り
C28.2 気象海象情報統合システムの情報統合機
能の不具合・故障、統合
アルゴリズムの誤り
C28.3 マルウェアの侵入やハッキング
C29.1 入力情報の不整合(複数の気象海象情
報センサの同一種類のデータが異なる)
C29.2 気象海象情報統合システムの情報統合機
気象海象情報の統合の29
能の不具合・故障、統合 ID19と同じ
未実施
アルゴリズムの誤り
C29.3 マルウェアの侵入やハッキング
C29.4 問い合わせ（本機能起動のトリガー）の未達― 98 ―

C30.1 気象海象情報統合システムの情報統合機
能/アルゴリズムの不具合（情報統合に時間が掛かり過ぎる）
気象海象情報の統合の C30.2 異なるセンサの情30
ID19と同じ
実施が遅すぎる/早すぎる 報取得タイミングの誤り
C30.3 マルウェアの侵入やハッキング
C30.4 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りC31.1 気象海象情報統合システムの自己診断機
能の不具合・故障
C31.2 気象海象情報統合システムの自己診断機
31 自身の状態の診断の誤り 能のアルゴリズム間違い ID7と同じ
C31.3 入力情報(自己診断に必要な情報)の誤り
C31.4 マルウェアの侵入やハッキング
C32.1 気象海象情報統合システムの自己診断機
能の不具合・故障・停止
自身の状態の診断の未 C32.2 入力情報(自己32
ID８と同じ実施
診断に必要な情報)の未取得
C32.3 マルウェアの侵入やハッキングC33.1 気象海象情報統合システムの自己診断機
能の不具合・故障
C33.2 気象海象情報統合システムの自己診断ア
ルゴリズムの不具合（自自身の状態の診断の実
33
己診断演算に時間が掛 ID9と同じ
施が遅すぎる/早すぎる
かり過ぎる）
C33.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C33.4 マルウェアの侵入やハッキングID11と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID12と同じ

ID7と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID13と同じ

ID8と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID13と同じ

ID9と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID13と同じ― 99 ―

C34.1 気象海象情報統合システムのセンサ状態
診断機能の不具合・故障C34.2 気象海象情報統 ・異常時に正常と誤診断合システムのセンサ状態 →ID19と同じセンサの状態の診断の誤34
診断機能のアルゴリズム ・正常時に異常と誤診断 ID16と同じ
り間違い→異常警報に基づき手C34.3 入力情報(センサ 動操船へ切替
状態診断に必要な情報)の誤り
C34.4 マルウェアの侵入やハッキング1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID16と同じ

C35.1 気象情報統合シ
ステムのセンサ状態診断 ・異常時に診断未実施
機能の不具合・故障→ID19と同じセンサの状態の診断の未 C35.2 入力情報(センサ ・正常時に診断未実施
35
ID17と同じ
実施
状態診断に必要な情報) →問題無し（一定時間の未取得超過時に警告は発出さC35.3 マルウェアの侵入 れる）やハッキング1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID16と同じ

C36.1 気象海象情報統合システムのセンサ状態
診断機能の不具合・故障・正常時に正常と診断す
C36.2 気象海象情報統 るのが遅すぎる
合システムのセンサ状態 →問題無し（一定時間
センサの状態の診断の実 診断アルゴリズムの不具 超過時に警告は発出さ
36
ID18と同じ
施が遅すぎる/早すぎる 合（状態診断演算に時 れる）
間が掛かり過ぎる）
・異常時に異常と診断す
C36.3 入力情報(センサ るのが遅すぎる
状態診断に必要な情報) →ID19と同じの取得タイミングの誤り
C36.4 マルウェアの侵入やハッキング1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID16と同じ― 100 ―

船舶制御システム
C37.1 操船計画の誤り・システム故障時の警報
C37.2 入力情報(制御・制御量計算アルゴリズム
量計算に必要な情報)の E37.1 航路逸脱のシミュレーションによる事誤り
E37.2 他船/物標、座礁
前検証
操船計画に基づく制御量 C37.3 制御量計算アル の危険性がある地点に異37・ウィルス検知ソフトによりの計算の誤りゴリズムの誤り常接近
ウィルスが検知されていな
C37.4 船舶制御システ E37.3 衝突、座礁、転いリムーバルメディアのみの
ムの不具合・故障
覆・沈没
接続、外部ネットワークとC37.5 マルウェアの侵入の未接続やハッキングC38.1 操船計画の未取・システム故障時の警報
得・各種情報未取得時のC38.2 入力情報(制御警報
量計算に必要な情報)の・シミュレーションによる事
未取得
前検証
操船計画に基づく制御量 C38.3 船舶制御システ
・一定時間超過時の警38
ID37と同じの計算の未実施
ムの不具合・故障
告発出C38.4 マルウェアの侵入・ウィルス検知ソフトによりやハッキングウィルスが検知されていな
C38.5 問い合わせ（本いリムーバルメディアのみの機能起動のトリガー）の接続、外部ネットワークと未達の未接続
C39.1 操船計画の取得タイミングの誤り
C39.2 入力情報(制御
量計算に必要な情報)の・システム故障時の警報
取得タイミングの誤り・シミュレーションによる事
C39.3 制御量計算アル前検証
ゴリズムの不具合（制御・一定時間超過時の警操船計画に基づく制御量
量計算に時間が掛かり過告発出39 の計算の実施が遅すぎる
ID37と同じぎる）
・ウィルス検知ソフトにより/早すぎる
C39.4 船舶制御システ
ウィルスが検知されていな
ムの不具合・故障
いリムーバルメディアのみのC39.5 マルウェアの侵入
接続、外部ネットワークとやハッキングの未接続
C39.6 問い合わせ（本機能起動のトリガー）タイ
ミングの誤り1

5

6 ID1と同じ

1

5

6 ID1と同じ・制御量計算アルゴリズムの改良・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）

1

5

6 ID1と同じ

1

5

6 ID1と同じ

・ID2と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID3と同じ― 101 ―

C41.1 入力情報(制御量)の未取得C41.2 アクチュエータの不41 舵/機関の制御の未実施 具合・故障
ID40と同じ
C41.3 問い合わせ（本機能起動のトリガー）の未達

・アクチュエータ不具合・故
障時の警報
・制御量未取得時の警報・一定時間超過時の警
告発出

1

4

5 ID1と同じ

1

4

5 ID1と同じ

C42.1 入力情報(制御量)の取得タイミングの誤り
C42.2 アクチュエータの不舵/機関の制御の実施が42
具合・故障
ID40と同じ
遅すぎる/早すぎる
C42.3 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りID41と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

C43.1 船舶制御システ
ムの舵/機関状態診断機
能の不具合・故障
C43.2 船舶制御システ
ムの舵/機関状態診断機
舵/機関の状態の診断の43
能のアルゴリズム間違い ID7と同じ誤り
C43.3 入力情報(舵/機関状態診断に必要な情報)の誤り
C43.4 マルウェアの侵入やハッキングID7と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ― 102 ―

・信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・舵/機関の制御が行われていない場合の対処機能の導入（当該システムの再起動など。）
・問い合わせ元は、応答がなけ
れば、新しい入力情報で再問合わせをする機構にする・再問合わせでも応答がない
場合の対処機能の導入（自動化レベルに応じて、人または機械で実装）
・信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・舵/機関の制御の遅れが一定以上の場合の対処機能の導入（当該システムの再起動など。）
・問い合わせ元は、応答が遅ければ、新しい入力情報で再問い合わせをする機構にする・応答が間に合わない場合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

・舵/機関状態診断機能のア
ルゴリズムの改良

C44.1 船舶制御システ
ムの舵/機関状態診断機
能の不具合・故障
舵/機関の状態の診断の C44.2 入力情報(舵/機44
ID８と同じ
未実施
関診断に必要な情報)の未取得
C44.3 マルウェアの侵入やハッキングID8と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID43と同じ

C45.1 船舶制御システ
ムの舵/機関状態診断機
能の不具合・故障
C45.2 船舶制御システ
ムの舵/機関状態診断ア
ルゴリズムの不具合（自舵/機関の状態の診断の45
己診断演算に時間が掛 ID9と同じ実施が遅すぎる/早すぎる
かり過ぎる）
C45.3 入力情報(舵/機関状態診断に必要な情報)の取得タイミングの誤り
C45.4 マルウェアの侵入やハッキングID9と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID43と同じ

ID7と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID13と同じ

ID8と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID13と同じ

C46.1 船舶制御システ
ムの自己診断機能の不具合・故障
C46.2 船舶制御システ
ムの自己診断機能のアル46 自身の状態の診断の誤り ゴリズム間違い
ID7と同じC46.3 入力情報(自己診断に必要な情報)の誤り
C46.4 マルウェアの侵入やハッキング
C47.1 船舶制御システ
ムの自己診断機能の不具合・故障・停止
自身の状態の診断の未 C47.2 入力情報(自己47
ID８と同じ実施
診断に必要な情報)の未取得
C47.3 マルウェアの侵入やハッキング― 103 ―

48

自身の状態の診断の実施が遅すぎる/早すぎるC48.1 船舶制御システ
ムの自己診断機能の不具合・故障
C48.2 船舶制御システ
ムの自己診断アルゴリズムの不具合（自己診断演
算に時間が掛かり過ぎ
ID9と同じる）
C48.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C48.4 マルウェアの侵入やハッキングID9と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID13と同じ

自律運航管理システム
・各システム故障時の警報
C49.1 自律運航管理シ・ODD入力時のダブル
ステムの不具合・故障
E49.1 ODD外での自律チェック
C49.2 自律運航管理シ 操船・航路逸脱時の警報
ステムの操船モード切替ア E49.2 航路逸脱
・操船モード切替指示機
操船モード切替指示の誤 ルゴリズムの間違い
E49.3 他船/物標、座礁
49
能のシミュレーションによるりC49.3 入力情報(操船 の危険性がある地点に異事前検証
モード切替判断に必要な 常接近・ウィルス検知ソフトにより情報)の誤りE49.4 衝突、座礁、転ウィルスが検知されていな
C49.4 マルウェアの侵入 覆・沈没
いリムーバルメディアのみのやハッキング
接続、外部ネットワークとの未接続
・各システム故障時の警C50.1 自律運航管理シ報
ステムの不具合・故障
・一定時間超過時の警C50.2 自律運航管理シ
告発出
ステムの操船モード切替ア・ODD入力時のダブル
ルゴリズムの間違い
チェック
C50.3 入力情報(操船・航路逸脱時の警報
操船モード切替指示の未50
モード切替判断に必要な ID49と同じ・操船モード切替指示機
実施情報)の誤り能のシミュレーションによるC50.4 マルウェアの侵入
事前検証
やハッキング・ウィルス検知ソフトによりC50.5 問い合わせ（本ウィルスが検知されていな機能起動のトリガー）のいリムーバルメディアのみの
未達
接続、外部ネットワークと
の未接続

1

5

6 ID1と同じ

1

5

6 ID1と同じ・操船モード切替アルゴリズムの改良・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）

1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID2と同じ― 104 ―

C51.1 自律運航管理シ
ステムの不具合・故障
C51.2 自律運航管理シ
ステムの操船モード切替ア
ルゴリズムの不具合（操船モード切替判断の計算に時間が掛かり過ぎる）
操船モード切替指示の実 C51.3 入力情報(操船51
ID49と同じ
施が遅すぎる/早すぎる モード切替判断に必要な情報)の取得タイミングの誤り
C51.4 マルウェアの侵入やハッキング
C51.5 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りC52.1 自律運航管理シ
ステムの自己診断機能の不具合・故障C52.2 自律運航管理シ
ステムの自己診断機能の52 自身の状態の診断の誤り アルゴリズム間違い
ID7と同じC52.3 入力情報(自己診断に必要な情報)の誤り
C52.4 マルウェアの侵入やハッキング
C53.1 自律運航管理シ
ステムの自己診断機能の不具合・故障・停止
自身の状態の診断の未 C53.2 入力情報(自己53
ID８と同じ実施
診断に必要な情報)の未取得
C53.3 マルウェアの侵入やハッキング

ID50と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID3と同じID7と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID13と同じ

ID8と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID13と同じ― 105 ―

54

自身の状態の診断の実施が遅すぎる/早すぎるC54.1 自律運航管理シ
ステムの自己診断機能の不具合・故障C54.2 自律運航管理シ
ステムの自己診断アルゴリ
ズムの不具合（自己診
断演算に時間が掛かり過 ID9と同じぎる）
C54.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C54.4 マルウェアの侵入やハッキングID9と同じ1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID13と同じ

6 ID1と同じ

・船員モニタリングシステム及び居眠り防止システムの導入検討・各種状況に応じた
MRM/MRCの網羅性の検証
・待機船員のワークロード管理（従事可能な業務の制限）

7 ID1と同じ

・船員モニタリングシステム及び居眠り防止システムの導入検討・各種状況に応じた
MRM/MRCの網羅性の検証
・待機船員のワークロード管理（従事可能な業務の制限）
・待機船員の居場所の制限

船員

C55.1 昇橋の未実施
C55.2 昇橋の必要性やシステムからの指示の理解
自律運航管理システムか不足による昇橋の未実施
55 らの指示に基づく昇橋のID49と同じ
C55.3 不適切なHMI等
未実施
により指示が把握できない
C55.4 他タスクによる拘束・一定時間経過後も船員が対応しない場合は
MRM/MRCへ移行
・適切なHMI設計と検証

C56.1 昇橋が遅れる,
居場所が遠いC56.2 不適切なHMI等
により指示の把握に時間
自律運航管理システムかが掛かり昇橋の実施が遅56 らの指示に基づく昇橋のID49と同じれる
実施が遅すぎる
C56.3 自律運航管理シ
ステムの指示が遅すぎる
C56.4 他タスクからの解
放に時間がかかる・適切なHMI設計と検証
・一定時間経過後も船員が対応しない場合は
MRM/MRCへ移行
・適切なタイミングでの指示のための自律運航管理システムのアルゴリズム検
証

1

1

6

6

― 106 ―

7 ID1と同じ

7 ID1と同じ

1

1

5

6

C57.1 現在状況について誤った理解をさせるようなHMI
C57.2 船員がシステムのE57.1 誤った理解に基づ操作方法を理解していな
く手動操船・適切なHMI設計と検証
いE57.2 他船/物標、座礁 ・船員の事前訓練
C57.3 システムの不具
57 現在状況の把握の誤りの危険性がある地点に異 ・一定時間経過後も船合・故障による誤った情常接近員が対応しない場合は報表示
E57.3 衝突、座礁、転 MRM/MRCへ移行
C57.4 表示情報の見間
覆・沈没違い，解釈の誤り
C57.5 同時発生タスクによる注意散漫、時間的切迫
C58.1 現在状況の把握
E58.1_1 ODD外での自が困難なHMI
律操船
C58.2 船員がシステムのE58.1_2 誤った理解に操作方法を理解しておら基づく手動操船ず現在状況の把握ができ
現在状況の把握の未実
E58.2 航路逸脱
58
ない
ID57と同じ
施
E58.3 他船/物標、座礁
C58.3 システムの不具の危険性がある地点に異合・故障により現在状況
常接近の把握ができないE58.4 衝突、座礁、転C58.4 同時発生タスクに
覆・沈没
よる失念
C59.1 操作が困難な
HMI又は現在状況の把握が困難なHMIのために現在状況の把握に時間 E59.1 ODD外での自律が掛かる
操船
C59.2 船員がシステムの E59.2 航路逸脱
現在状況の把握の実施 操作方法を理解しておら E59.3 他船/物標、座礁
59
ID57と同じが遅すぎる
ず現在状況の把握に時 の危険性がある地点に異
間が掛かる
常接近
C59.3 システムの不具
E59.4 衝突、座礁、転合・故障により現在状況 覆・沈没の把握に時間が掛かる
C59.4 同時発生タスクによるリソース不足

1

6

7 ID1と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

1

6

7 ID1と同じ

1

5

6 ID1と同じ― 107 ―

・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・各種状況に応じた
MRM/MRCの網羅性の検証
・船員に昇橋を求める状況でのワークロード管理（発生しうるタスクの量に応じた船員数の確保、船員に昇橋を求める状
況で使用可能な自動化の導入などによるリソースの補充）

ID57と同じ

ID57と同じ

システムからの操船モード
60 切替指示に基づく操船
モード切替の誤りシステムからの操船モード
61 切替指示に基づく操船
モード切替の未実施

62

システムからの操船モード
切替指示に基づく操船
モード切替の実施が遅す
ぎる/早すぎる

63 手動操船の誤り

C60.1 操船モード切替
機能の不具合・故障
・各システム故障時の警C60.2 船員が操船モード
報
切替方法に習熟していな
ID49と同じ・船員の事前訓練
い・操船モード切替方法のC60.3 同時発生タスクにマニュアル整備よる注意散漫/時間的切迫
C61.1 昇橋の未実施
C61.2 操船モード切替
操作の必要性の理解不・各システム故障時の警足報
C61.3 操船モード切替の・一定時間超過時の警把握が困難なHMI
告発出ID49と同じ
C61.4 操船モード切替
・船員のシステムへの理解
機能の不具合・故障力向上のためのマニュアル
C61.5 操船モード切替
整備指示が発令されない
・適切なHMI設計と検証
C61.6 同時発生タスクによる失念
C62.1 操作方法の理解不足
C62.2 操船モード切替の必要性の把握が困難な
HMIのために操船モード
切替に時間が掛かる
ID49と同じ
ID61と同じ
C62.3 操船モード切替
機能の不具合・故障
C62.4 操船モード切替
指示の発令が遅すぎる
C62.5 同時発生タスクによるリソース不足
C63.1 手動操船システ
ムの不具合・故障
C63.2 船員が手動操船システムの操作方法を理解していないE63.1 船員の意図とはC63.3 他船の動向等の 異なる手動操船
推測誤り
E63.2 他船/物標、座礁 ・手動操船システムの冗C63.4 船員が手動操船 の危険性がある地点に異 長化に習熟していない
常接近・船員の事前訓練
C63.5 船員が長期間自 E63.3 衝突、座礁、転動操船に頼りきりで，手 覆・沈没
動操船技能が低下
C63.6 同時発生タスクによる注意散漫/時間的切迫

1

6

7 ID1と同じ

1

5

6 ID1と同じ

ID57と同じ

1

5

6 ID1と同じ

1

5

6 ID1と同じ

ID57と同じ

1

6

7 ID1と同じ

1

5

6 ID1と同じ

ID57と同じ

7 ID1と同じ・手動操船システムの点検・手動操船システムの適切なHMI設計
・船員に昇橋を求める状況でのワークロード管理（発生しうるタスクの量に応じた船員数の確保、船員に昇橋を求める状
況で使用可能な自動化の導入などによるリソースの補充）16― 108 ―

7 ID1と同じ

1

6

64 手動操船の未実施

65

手動操船の実施が遅す
ぎる/早すぎる

C64.1 手動操船システ
ムの不具合・故障
E64.1 手動操船や自律C64.2 船員が手動操船 操船に基づかない運航
システムの操作方法を理 E64.2 他船/物標、座礁
解していないの危険性がある地点に異 ID63と同じ
C64.3 手動操船への切 常接近替が未実施
E64.3 衝突、座礁、転C64.4 同時発生タスクに 覆・沈没
よる失念
C65.1 手動操船システ
ムの不具合・故障
C65.2 船員が手動操船
E65.1 誤った操船システムの操作方法を理E65.2 他船/物標、座礁
解していないの危険性がある地点に異C65.3 他船の動向等のID63と同じ
常接近
推測誤り
E65.3 衝突、座礁、転C65.4 手動操船への切
覆・沈没
替が遅れる
C65.5 同時発生タスクによるリソース不足

1

6

7 ID1と同じ

1

5

6 ID1と同じ

ID63と同じ

1

6

7 ID1と同じ

1

6

7 ID1と同じ

ID63と同じ

6・各システムの操作方法のマニュアル整備
・シャドー要員の事前訓
練・適切なHMI設計と検証・システム故障時の警報・実証実験時にはメーカー
7
技師等も同乗・シャドー要員のワークロー
ド管理（タスク量に応じたシャドー要員数の確保、使用可能な自動化の導入などによるリソースの補
充）

1

5

6 ID1と同じ

NA

シャドー要員C66.1 現在状況について誤った理解をさせるようなHMI
C66.2 シャドー要員がシ
ステムの操作方法を理解
各システム、周辺状況等
66
していない
ID1と同じの常時モニタリングの誤り
C66.3 システムの不具合・故障による誤った情
報表示
C66.4 他タスクによる注
意散漫、時間的切迫NA1― 109 ―

C67.1 現在状況の把握が困難なHMI
C67.2 シャドー要員がシ
ステムの操作方法を理解
各システム、周辺状況等 しておらず現在状況の把67 の常時モニタリングの未実 握ができない
ID1と同じ施
C67.3 システムの不具合・故障により現在状況の把握ができないC67.4 シャドー要員の急病/居眠り/他タスク等
C68.1 操作が困難な
HMI又は現在状況の把握が困難なHMIのために現在状況の把握に時間が掛かる
C68.2 シャドー要員がシ各システム、周辺状況等
システムの操作方法を理68 の常時モニタリングの実施
ID1と同じ
解しておらず現在状況のが遅すぎる/早すぎる
把握に時間が掛かる
C68.3 システムの不具合・故障により現在状況の把握に時間が掛かる
C68.4 シャドー要員の急病/居眠り/他タスク等

C69.1 操船モード切替
機能の故障
C69.2 シャドー要員が操
緊急時対応（手動操船69
船モード切替方法に習熟 ID1と同じ強制切替）の誤り
していない
C69.3 他タスクによる注
意散漫、時間的切迫

NA

1

5

6 ID66と同じ

1

4

5 ID1と同じ

NA

NA

1

6

7 ID66と同じ

1

5

6 ID1と同じ

NA

7・操船モード切替方法のマニュアル整備
・シャドー要員の事前訓
練・シャドー要員のワークロー
8
ド管理（タスク量に応じたシャドー要員数の確保、使用可能な自動化の導入などによるリソースの補
充）

1

6

7 ID1と同じ

NA

NA

1

― 110 ―

C70.1 自律操船システ
ムへの過信
C70.2 シャドー要員が現
状が緊急時であることを把握していない（自船性
能や現在の自船/周囲/環境等の情報に対する緊急時対応（手動操船 誤った認識）
70
ID1と同じ強制切替）の未実施
C70.3 船員が対応すると考えて、シャドー要員は対応しない
C70.4 シャドー要員が操船モード切替方法に習熟していない
C70.5 シャドー要員の急病/居眠り/他タスク等
C71.1 操船モード切替
機能の故障
C71.2 シャドー要員が操船モード切替方法に習熟
緊急時対応（手動操船していない
71 強制切替）の実施が遅ID1と同じC71.3 船員が対応するとすぎる/早すぎる
考えて、シャドー要員の対応が遅れる
C71.4 シャドー要員の急病/居眠り/他タスク等

NA

NA

1

1

6

7

― 111 ―

7 ID69と同じ

8 ID69と同じ

1

1

5

ID1と同じ※船員の対応は期待せずに
6 少しでも危険を感じたらシャNA
ドー要員が対応することを徹底する

6

ID1と同じ※船員の対応は期待せずに
7 少しでも危険を感じたらシャNA
ドー要員が対応することを徹底するTable 2.8 HAZID WS (フェーズ：離着岸)
Sheet ID: 2
Phase: 離着岸
ID

Hazardハザード
自律操船システム

Causes原因C1.1 入力情報（自船
情報、他船/漂流物情報、気象海象情報、離岸目標位置及び着岸目
標位置等）の未取得や誤り
C1.2 航海計画（所離着岸操船計画の立案
1与）の未取得や誤りの誤り
C1.3 自律操船システムの離着岸操船計画立案
アルゴリズムの誤り
C1.4 自律操船システムの不具合・故障
C1.5 マルウェアの侵入やハッキング

Consequences
結果

Existing Safeguards Index(before Safeguards
action)at Trial
既存の安全対策
SI FI RI 実験時の追加対策

・各システム故障時の警報・各種情報や航海計画
未入力時の警報
・航海計画入力時のダブ
ルチェック
E1.1 岸壁、他船/物・自船や他船/漂流物の標、座礁の危険性がある
位置飛び時の警報
地点に異常接近・離着岸操船計画立案
E1.2 （単）衝突、座
アルゴリズムのシミュレーショ
礁、転覆・沈没ンによる事前検証・ウィルス検知ソフトによりウイルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークとの未接続

C2.1 入力情報（自船
情報、他船/漂流物情報、気象海象情報、離岸目標位置及び着岸目
標位置等）の未取得
C2.2 航海計画（所離着岸操船計画の立案 与）の未取得
2
ID1と同じの未実施
C2.3 自律操船システムの不具合・故障
C2.4 マルウェアの侵入やハッキング
C2.5 問い合わせ（本機
能起動のトリガー）の未達・各システム故障時の警報・各種情報や航海計画
未入力時の警報
・一定時間超過時の警告発出・シミュレーションによる事
前検証
・ウィルス検知ソフトによりウイルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

2

2

5

4

― 112 ―・シャドー要員による常時
監視
・シャドー要員によるテイク
オーバー
7・操船切替等に関するシャドー要員の事前訓練
・不具合や異常発生時は実験中止

6 ID1と同じ

Index(after action)
Emergency Plan
SI FI RI 緊急時計画

2

2

Comments
コメント（商用運航に向けた安全対策等）

5・離着岸操船計画立案アルゴ①故障時や異常時は警報発
リズムの改良令。または、シャドー要員の常・システムの信頼性向上策
時監視で異常・不具合を検（冗長化等）の検討（費用知。
7
対効果検討含む）②シャドー要員の判断で手動・出力の検証と検証結果に応操船へ切替じた対処機能の導入（自動※必要な場合、緊急時計画化レベルに応じて、人または機の詳細は別途準備
械で実装）

4・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・問い合わせ元は、応答がなけ
れば、新しい入力情報で再問合わせをする機構にする・再問合わせでも応答がない
場合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

6 ID1と同じ

C3.1 入力情報（自船
情報、他船/漂流物情報、気象海象情報、離岸目標位置及び着岸目
標位置等）の未取得や誤ったタイミングでの取得
C3.2 自律操船システムの離着岸操船計画立案
離着岸操船計画の立案 アルゴリズムの不具合
3 の実施が遅すぎる/早すぎ （離着岸操船計画立案 ID1と同じ
る
演算に時間が掛かり過ぎる）C3.3 自律操船システムの不具合・故障
C3.4 マルウェアの侵入やハッキング
C3.5 問い合わせ（本機
能起動のトリガー）タイミ
ングの誤り

2

5

7 ID1と同じ

2

5

7 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・問い合わせ元は、応答が遅ければ、新しい入力情報で再問合わせをする機構にする・応答が間に合わない場合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

・各システム故障時の警報・運航フェーズ切替位置
C4.1 運航フェーズ切替
入力時のダブルチェック
位置（所与）の入力誤E4.1 航路逸脱
・自船の位置飛び時の警り
E4.2 他船/物標、桟報
運航フェーズ切替（離岸 C4.2 入力情報(自船位橋、座礁の危険性がある ・航路逸脱時の警報
4 操船→通常航行）の誤 置情報)の誤り
地点に異常接近・シミュレーションによる事りC4.3 自律操船システム
E4.3 他船・桟橋との衝 前検証の不具合・故障
突、座礁、転覆・沈没・ウィルス検知ソフトによりC4.4 マルウェアの侵入やウイルスが検知されていな
ハッキング
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

2

5

7 ID1と同じ

2

5

7 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）

・各システム故障時の警報・運航フェーズ切替位置
入力時のダブルチェック
・自船の位置飛び時の警報・航路逸脱時の警報
・シミュレーションによる事
前検証
・運航フェーズ切替位置からの一定距離超過時の警告発出
・ウィルス検知ソフトによりウイルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID2と同じC5.1 運航フェーズ切替
位置（所与）の入力誤
りや未入力
C5.2 入力情報(自船位置情報)の入力誤りや未運航フェーズ切替（離岸 入力
5 操船→通常航行）の未 C5.3 自律操船システム ID4と同じ実施の不具合・故障
C5.4 マルウェアの侵入やハッキング
C5.5 問い合わせ（本機
能起動のトリガー）の未達

ID2と同じ― 113 ―

C6.1 入力情報(自船位置情報)の取得タイミングの誤り
C6.2 運航フェーズ切替ア
ルゴリズムの不具合（切替演算に時間が掛かり過運航フェーズ切替（離岸ぎる）
6 操船→通常航行）の実ID4と同じC6.3 自律操船システム
施が遅すぎる/早すぎるの不具合・故障
C6.4 マルウェアの侵入やハッキング
C6.5 問い合わせ（本機
能のトリガー）タイミングの誤り・システム故障時の警報
・航路逸脱時の警報
・シミュレーションによる事
前検証
・運航フェーズ切替位置からの一定距離超過時の警告発出
・ウィルス検知ソフトによりウイルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID3と同じC7.1 自律操船システム
・自己診断機能の事前の自己診断機能のアルゴ ・異常時に正常と誤診断 検証
リズム間違い→ID4と同じ・ウィルス検知ソフトにより7 自身の状態の診断の誤り C7.2 入力情報(自己診 ・正常時に異常と誤診断 ウイルスが検知されていな断に必要な情報)の誤り →異常警報に基づき手 いリムーバルメディアのみのC7.3 マルウェアの侵入や 動操船へ切替接続、外部ネットワークと
ハッキング
の未接続

2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID4と同じ・自己診断機能の事前検証
・一定時間超過時の警告発出・ウィルス検知ソフトによりウイルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID4と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID4と同じ8

9

自身の状態の診断の未実施

C8.1 自律操船システムの自己診断機能の不具 ・正常時に診断未実施
合・故障・停止→問題無し（一定時間
C8.2 入力情報(自己診 超過時に警告は発出さ断に必要な情報)の未取 れる）
得・異常時に診断未実施
C8.3 マルウェアの侵入や →ID4と同じ
ハッキング

自身の状態の診断の実施が遅すぎる/早すぎる・正常時に正常と診断す
るのが遅すぎる
C9.1 自律操船システム →問題無し（一定時間の自己診断機能の不具 超過時に警告は発出さ
合・故障
れる）
C9.2 自律操船システム ・異常時に異常と診断すの自己診断アルゴリズムの るのが遅すぎる
不具合（自己診断演算 →E9.1 手動操船への切ID8と同じに時間が掛かり過ぎる） 替遅れ
C9.3 入力情報(自己診 E9.2 ODD外での自律断に必要な情報)の取得 操船タイミングの誤り
E9.3 岸壁、他船/物C9.4 マルウェアの侵入や 標、座礁の危険性がある
ハッキング
地点に異常接近E9.5 （単）衝突、座礁、転覆・沈没― 114 ―

自船情報統合システム
・情報統合機能の事前検証
E10.1 誤った離着岸操
C10.1 入力情報の不整・データに食い違いがある
船計画の立案合(複数の自船情報セン場合の対応方法の組込
E10.2 誤った制御量のサの同一種類のデータがみ（どのデータを優先する
計算
異なる、一つもしくは複数か等）
E10.3 運航フェーズ切替の古い情報との統合等)
・各システム故障時の警の誤り/未実施
10 自船情報の統合の誤り C10.2 自船情報統合シ報
E10.4 航路逸脱
ステムの情報統合機能の・同一種類データが異なる
E10.5 他船/物標、岸不具合・故障、統合アル場合の警告
壁、座礁の危険性がある
ゴリズムの誤り・ウィルス検知ソフトにより地点に異常接近C10.3 マルウェアの侵入
ウィルスが検知されていな
E10.6 衝突、座礁、転やハッキングいリムーバルメディアのみの
覆・沈没
接続、外部ネットワークとの未接続
・情報統合機能の事前検証
C11.1 入力情報の不整・データに食い違いがある
合(複数の自船情報セン場合の対応方法の組込
サの同一種類のデータがみ（どのデータを優先する
異なる)か等）
C11.2 自船情報統合シ・各システム故障時の警
ステムの情報統合機能の報
自船情報の統合の未実
11
不具合・故障、統合アル ID10と同じ・同一種類データが異なる
施
ゴリズムの誤り場合の警告
C11.3 マルウェアの侵入・一定時間超過時の警やハッキング
告発出C11.4 問い合わせ（本・ウィルス検知ソフトにより機能起動のトリガー）のウイルスが検知されていな
未達
いリムーバルメディアのみの接続、外部ネットワークとの未接続

C12.1 自船情報統合シ E12.1 誤った離着岸操
ステムの情報統合機能/ 船計画の立案
アルゴリズムの不具合
E12.2 誤った制御量の（情報統合に時間が掛 計算
かり過ぎる）
E12.3 誤った位置での運自船情報の統合の実施 C12.2 異なるセンサの情 航フェーズ切替
12
ID11と同じが遅すぎる/早すぎる
報取得タイミングの誤り
E12.4 航路逸脱
C12.3 マルウェアの侵入 E12.5 他船/物標、岸やハッキング
壁、座礁の危険性がある
C12.4 問い合わせ（本 地点に異常接近
機能起動のトリガー）タイ E12.6 衝突、座礁、転ミングの誤り
覆・沈没

2

2

2

4

4

4

6 ID1と同じ

6 ID1と同じ

6 ID1と同じ― 115 ―

2

2

2

4

4

4

6 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・情報統合アルゴリズムの改良
・統合情報の信頼度の管理（信頼度評価と低信頼度時の対策の策定）6 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・情報統合アルゴリズムの改良
・出力が無い場合の対処機能の導入（当該システムの再起動など。機能が停止している場合の対処として、自身の診断とは別に用意）6 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・情報統合アルゴリズムの改良
・出力の遅れが大きい場合の対処機能の導入（当該シス
テムの再起動など）

C13.1 自船情報統合シ
ステムの自己診断機能の不具合・故障C13.2 自船情報統合シ
ステムの自己診断機能の13 自身の状態の診断の誤り アルゴリズム間違い
ID7と同じC13.3 入力情報(自己診断に必要な情報)の誤り
C13.4 マルウェアの侵入やハッキングID7と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ・自己診断機能のアルゴリズムの改良

自身の状態の診断の未実施

C14.1 自船情報統合シ
ステムの自己診断機能の不具合・故障・停止
C14.2 入力情報(自己ID８と同じ
診断に必要な情報)の未取得
C14.3 マルウェアの侵入やハッキングID8と同じ2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID13と同じ自身の状態の診断の実施が遅すぎる/早すぎるC15.1 自船情報統合シ
ステムの自己診断機能の不具合・故障C15.2 自船情報統合シ
ステムの自己診断アルゴリ
ズムの不具合（自己診
断演算に時間が掛かり過 ID9と同じぎる）
C15.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C15.4 マルウェアの侵入やハッキングID9と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID13と同じ

14

15― 116 ―

C16.1 自船情報統合シ
ステムのセンサ状態診断
機能の不具合・故障
・センサ状態診断機能及C16.2 自船情報統合シ ・異常時に正常と誤診断 びアルゴリズムの事前検証
ステムのセンサ状態診断 →ID10と同じ・ウィルス検知ソフトによりセンサの状態の診断の誤16
機能のアルゴリズム間違い ・正常時に異常と誤診断 ウィルスが検知されていなりC16.3 入力情報(センサ →異常警報に基づき手 いリムーバルメディアのみの状態診断に必要な情報) 動操船へ切替接続、外部ネットワークとの誤りの未接続
C16.4 マルウェアの侵入やハッキング2

5

7 ID1と同じ

2

5

7 ID1と同じ・センサ状態診断機能のアルゴ
リズムの改良・センサ状態診断機能の事前検証
・一定時間超過時の警報発出・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID16と同じ

2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID16と同じ

C17.1 自船情報統合シ・異常時に診断未実施
ステムのセンサ状態診断→ID10と同じ機能の不具合・故障
・正常時に診断未実施
センサの状態の診断の未 C17.2 入力情報(センサ17→問題無し（一定時間実施
状態診断に必要な情報)
超過時に警告は発出さの未取得れる）
C17.3 マルウェアの侵入やハッキングC18.1 自船情報統合シ
ステムのセンサ状態診断
機能の不具合・故障
・正常時に正常と診断す
C18.2 自船情報統合シるのが遅すぎる
ステムのセンサ状態診断ア→問題無し（一定時間
ルゴリズムの不具合（状
センサの状態の診断の実超過時に警告は発出さ
18
態診断演算に時間が掛
施が遅すぎる/早すぎるれる）
かり過ぎる）
・異常時に異常と診断す
C18.3 入力情報(センサ
るのが遅すぎる
状態診断に必要な情報)→ID12と同じの取得タイミングの誤り
C18.4 マルウェアの侵入やハッキング・センサ状態診断機能及びアルゴリズムの事前検証
・一定時間超過時の警報発出・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークとの未接続― 117 ―

岸壁距離計測システム
C19.1 岸壁距離計測センサの故障・不具合
C19.2 岸壁距離計測シ
ステムの故障・不具合
E19.1 岸壁への異常接
自船と岸壁との距離の計
19
C19.3 距離センサ→計 近測の誤り測システム間の通信不具 E19.2 岸壁との衝突
合・故障
C19.4 マルウェアの侵入やハッキング
自船と岸壁との距離の計
20
ID19と同じ
ID19と同じ
測の未実施

自船と岸壁との距離の計
21 測の実施が遅すぎる/早 ID19と同じすぎる

ID19と同じ

・各システム故障時の警報・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

2

4

6 ID1と同じ

2

4

6 ID1と同じ・センサ及びシステムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）

ID19と同じ

2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID19と同じ

ID19と同じ

2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID19と同じ

C22.1 岸壁距離計測シ
ステムの不具合・故障
E22.1 実際には接近し
C22.2 岸壁距離計測シていないが、警報が発出さステムの警報発出アルゴリ
れる
近接の場合の警報発出 ズムの間違い
22（実際には接近している ID19と同じの誤り
C22.3 入力情報(警報が、警報が発出されない発出判断に必要な情報)
場合はID23、24を参の誤り
照）
C22.4 マルウェアの侵入やハッキング2

4

6 ID1と同じ

2

4

6 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・警報発出アルゴリズムの改良（実際には接近しているが、警報が発出されない
場合）
E23.1 操船モード切替のID19と同じ
遅延、失敗
E23.2 岸壁への異常接近E23.3 岸壁との衝突

2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID22と同じ23

近接の場合の警報発出
ID22と同じの未実施― 118 ―

C24.1 岸壁距離計測シ
ステムの不具合・故障
・警報発出の適切なタイミ
C24.2 岸壁距離計測シ （実際には接近している
ングの検証
ステムの警報発出アルゴリ が、警報の発出が遅い場
・各システム故障時の警ズムの不具合（警報発 合）
近接の場合の警報発出
報
出判断の計算に時間が E24.1 操船モード切替の24 の実施が遅すぎる/早すぎ・ウィルス検知ソフトにより掛かり過ぎる）
遅延、失敗
る
ウィルスが検知されていな
C24.3 入力情報(警報 E24.2 岸壁への異常接いリムーバルメディアのみの発出判断に必要な情報) 近
接続、外部ネットワークとの取得タイミングの誤り
E24.3 岸壁との衝突の未接続
C24.4 マルウェアの侵入やハッキング2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID22と同じ

C25.1 岸壁距離計測シ
ステムの自己診断機能の不具合・故障C25.2 岸壁距離計測シ
ステムの自己診断機能の25 自身の状態の診断の誤り アルゴリズム間違い
ID7と同じC25.3 入力情報(自己診断に必要な情報)の誤り
C25.4 マルウェアの侵入やハッキングID7と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID13と同じ

C26.1 岸壁距離計測シ
ステムの自己診断機能の不具合・故障・停止
C26.2 入力情報(自己ID８と同じ
診断に必要な情報)の未取得
C26.3 マルウェアの侵入やハッキングID8と同じ2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID13と同じ

26

自身の状態の診断の未実施― 119 ―

27

自身の状態の診断の実施が遅すぎる/早すぎるC27.1 岸壁距離計測シ
ステムの自己診断機能の不具合・故障C27.2 岸壁距離計測シ
ステムの自己診断アルゴリ
ズムの不具合（自己診
断演算に時間が掛かり過 ID9と同じぎる）
C27.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C27.4 マルウェアの侵入やハッキングID9と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID13と同じ

C28.1 岸壁距離計測シ
ステムのセンサ状態診断
機能の不具合・故障
C28.2 岸壁距離計測シ ・異常時に正常と誤診断
ステムのセンサ状態診断 →ID19と同じセンサの状態の診断の誤28
機能のアルゴリズム間違い ・正常時に異常と誤診断 ID16と同じ
りC28.3 入力情報(センサ →異常警報に基づき手状態診断に必要な情報) 動操船へ切替の誤り
C28.4 マルウェアの侵入やハッキング2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID16と同じ

C29.1 岸壁距離計測シ
ステムのセンサ状態診断 ・異常時に診断未実施
機能の故障→ID19と同じセンサの状態の診断の未 C29.2 入力情報(センサ ・正常時に診断未実施
29
ID17と同じ
実施
状態診断に必要な情報) →問題無し（一定時間の未取得超過時に警告は発出さ
C29.3 マルウェアの侵入 れる）やハッキング2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID16と同じ

C30.1 岸壁距離計測シ
ステムのセンサ状態診断
機能の不具合・故障
・正常時に正常と診断す
C30.2 岸壁距離計測シるのが遅すぎる
ステムのセンサ状態診断ア→問題無し（一定時間
ルゴリズムの不具合（状
センサの状態の診断の実超過時に警告は発出さ
30
態診断演算に時間が掛
ID18と同じ
施が遅すぎる/早すぎるれる）
かり過ぎる）
・異常時に異常と診断す
C30.3 入力情報(センサ
るのが遅すぎる
状態診断に必要な情報)→ID19と同じの取得タイミングの誤り
C30.4 マルウェアの侵入やハッキング2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID16と同じ― 120 ―

他船/漂流物等情報統合システム

他船/漂流物情報の統合の誤り

C31.1 入力情報の不整合(複数の他船/漂流物
情報センサの同一種類のE31.1 誤った離着岸操データが異なる、一つもしく船計画の立案は複数の古い情報との統E31.2 他船/物標、座礁
合等)の危険性がある地点に異 ID10と同じ
C31.2 他船/漂流物情常接近
報統合システムの情報統E31.3 衝突、座礁、転合機能の不具合・故障、
覆・沈没
統合アルゴリズムの誤り
C31.3 マルウェアの侵入やハッキング2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID10と同じ

他船/漂流物情報の統合の未実施

C32.1 入力情報の不整合(複数の他船/漂流物
情報センサの同一種類のデータが異なる)
C32.2 他船/漂流物情報統合システムの情報統合機能の不具合・故障、 ID31と同じ
統合アルゴリズムの誤り
C32.3 マルウェアの侵入やハッキング
C32.4 問い合わせ（本機能起動のトリガー）の未達

ID11と同じ

2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID11と同じ

他船/漂流物情報の統33 合の実施が遅すぎる/早すぎる

C33.1 他船/漂流物情報統合システムの情報統合機能/アルゴリズムの不具合（情報統合に時間が掛かり過ぎる）
C33.2 異なるセンサの情ID31と同じ
報取得タイミングの誤り
C33.3 マルウェアの侵入やハッキング
C33.4 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りID11と同じ

2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID12と同じ

31

32― 121 ―

C34.1 他船/漂流物等
情報統合システムの自己診断機能の不具合・故障C34.2 他船/漂流物等
情報統合システムの自己
34 自身の状態の診断の誤り 診断機能のアルゴリズム ID7と同じ間違い
C34.3 入力情報(自己診断に必要な情報)の誤り
C34.4 マルウェアの侵入やハッキングID7と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID13と同じ自身の状態の診断の未実施

C35.1 他船/漂流物等
情報統合システムの自己診断機能の不具合・故障・停止C35.2 入力情報(自己 ID８と同じ診断に必要な情報)の未取得
C35.3 マルウェアの侵入やハッキングID8と同じ2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID13と同じ自身の状態の診断の実施が遅すぎる/早すぎるC36.1 他船/漂流物等
情報統合システムの自己診断機能の不具合・故障C36.2 他船/漂流物等
情報統合システムの自己診断アルゴリズムの不具
ID9と同じ合（自己診断演算に時間が掛かり過ぎる）
C36.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C36.4 マルウェアの侵入やハッキングID9と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID13と同じ

35

36― 122 ―

C37.1 他船/漂流物等
情報統合システムのセン
サ状態診断機能の不具
合・故障
C37.2 他船/漂流物等 ・異常時に正常と誤診断情報統合システムのセン →ID31と同じセンサの状態の診断の誤37
サ状態診断機能のアルゴ ・正常時に異常と誤診断 ID16と同じり
リズム間違い
→異常警報に基づき手C37.3 入力情報(センサ 動操船へ切替
状態診断に必要な情報)の誤り
C37.4 マルウェアの侵入やハッキングC38.1 他船/漂流物等
情報統合システムのセン・異常時に診断未実施
サ状態診断機能の不具→ID31と同じ
合・故障センサの状態の診断の未・正常時に診断未実施
38
C38.2 入力情報(センサID17と同じ
実施→問題無し（一定時間
状態診断に必要な情報)
超過時に警告は発出さの未取得れる）
C38.3 マルウェアの侵入やハッキングC39.1 他船/漂流物等
情報統合システムのセン
サ状態診断機能の不具合・故障・正常時に正常と診断す
C39.2 他船/漂流物等 るのが遅すぎる
情報統合システムのセン →問題無し（一定時間
センサの状態の診断の実 サ状態診断アルゴリズムの 超過時に警告は発出さ
39
ID18と同じ
施が遅すぎる/早すぎる 不具合（状態診断演算 れる）に時間が掛かり過ぎる） ・異常時に異常と診断す
C39.3 入力情報(センサ るのが遅すぎる
状態診断に必要な情報) →ID31と同じの取得タイミングの誤り
C39.4 マルウェアの侵入やハッキング2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID16と同じ

2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID16と同じ

2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID16と同じ― 123 ―

気象海象情報統合システム

C40.1 入力情報の不整合(複数の気象海象情
報センサの同一種類のデータが異なる、一つもしくは複数の古い情報との統
気象海象情報の統合の 合等)
40
ID31と同じ誤り
C40.2 気象海象情報統合システムの情報統合機
能の不具合・故障、統合
アルゴリズムの誤り
C40.3 マルウェアの侵入やハッキング

ID10と同じ

2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID10と同じ

C41.1 入力情報の不整合(複数の気象海象情
報センサの同一種類のデータが異なる)
C41.2 気象海象情報統合システムの情報統合機
気象海象情報の統合の41
能の不具合・故障、統合 ID31と同じ
未実施
アルゴリズムの誤り
C41.3 マルウェアの侵入やハッキング
C41.4 問い合わせ（本機能起動のトリガー）の未達

ID11と同じ

2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID11と同じ

C42.1 気象海象情報統合システムの情報統合機
能/アルゴリズムの不具合（情報統合に時間が掛かり過ぎる）
気象海象情報の統合の C42.2 異なるセンサの情42
ID31と同じ
実施が遅すぎる/早すぎる 報取得タイミングの誤り
C42.3 マルウェアの侵入やハッキング
C42.4 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りID11と同じ

2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID12と同じ― 124 ―

C43.1 気象海象情報統合システムの自己診断機
能の不具合・故障
C43.2 気象海象情報統合システムの自己診断機
43 自身の状態の診断の誤り 能のアルゴリズム間違い ID7と同じ
C43.3 入力情報(自己診断に必要な情報)の誤り
C43.4 マルウェアの侵入やハッキングID7と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID13と同じ自身の状態の診断の未実施

C44.1 気象海象情報統合システムの自己診断機
能の不具合・故障・停止
C44.2 入力情報(自己ID８と同じ
診断に必要な情報)の未取得
C44.3 マルウェアの侵入やハッキングID8と同じ2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID13と同じ自身の状態の診断の実施が遅すぎる/早すぎるC45.1 気象海象情報統合システムの自己診断機
能の不具合・故障
C45.2 気象海象情報統合システムの自己診断ア
ルゴリズムの不具合（自己診断演算に時間が掛 ID9と同じかり過ぎる）
C45.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C45.4 マルウェアの侵入やハッキングID9と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID13と同じ

44

45― 125 ―

C46.1 気象海象情報統合システムのセンサ状態
診断機能の不具合・故障C46.2 気象海象情報統 ・異常時に正常と誤診断合システムのセンサ状態 →ID31と同じセンサの状態の診断の誤46
診断機能のアルゴリズム ・正常時に異常と誤診断 ID16と同じ
り間違い→異常警報に基づき手C46.3 入力情報(センサ 動操船へ切替
状態診断に必要な情報)の誤り
C46.4 マルウェアの侵入やハッキング2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID16と同じ

C47.1 気象情報統合シ
ステムのセンサ状態診断 ・異常時に診断未実施
機能の不具合・故障→ID31と同じセンサの状態の診断の未 C47.2 入力情報(センサ ・正常時に診断未実施
47
ID17と同じ
実施
状態診断に必要な情報) →問題無し（一定時間の未取得超過時に警告は発出さ
C47.3 マルウェアの侵入 れる）やハッキング2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID16と同じ

C48.1 気象海象情報統合システムのセンサ状態
診断機能の不具合・故障・正常時に正常と診断す
C48.2 気象海象情報統 るのが遅すぎる
合システムのセンサ状態 →問題無し（一定時間
センサの状態の診断の実 診断アルゴリズムの不具 超過時に警告は発出さ
48
ID18と同じ
施が遅すぎる/早すぎる 合（状態診断演算に時 れる）
間が掛かり過ぎる）
・異常時に異常と診断す
C48.3 入力情報(センサ るのが遅すぎる
状態診断に必要な情報) →ID31と同じの取得タイミングの誤り
C48.4 マルウェアの侵入やハッキング2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID16と同じ― 126 ―

船舶制御システム
C49.1 離着岸操船計画の誤り・システム故障時の警報
C49.2 入力情報(制御・制御量計算アルゴリズム
量計算に必要な情報)ののシミュレーションによる事
E49.1 航路逸脱
誤り
前検証
E49.2 他船/物標、座礁
C49.3 制御量計算アル・対象船の操縦運動モデ
離着岸操船計画に基づくの危険性がある地点に異49
ゴリズムの誤り
ルの精度確保制御量の計算の誤り
常接近
C49.3-2 対象船の操縦・ウィルス検知ソフトによりE49.3 衝突、座礁、転運動モデルの精度不良
ウイルスが検知されていな
覆・沈没
C49.4 船舶制御システ
いリムーバルメディアのみの
ムの不具合・故障
接続、外部ネットワークとC49.5 マルウェアの侵入の未接続やハッキングC50.1 離着岸操船計画・システム故障時の警報の未取得
・各種情報未取得時のC50.2 入力情報(制御警報
量計算に必要な情報)の・シミュレーションによる事
未取得
前検証
離着岸操船計画に基づく C50.3 船舶制御システ
・一定時間超過時の警50
ID49と同じ制御量の計算の未実施 ムの不具合・故障
告発出C50.4 マルウェアの侵入・ウィルス検知ソフトによりやハッキングウイルスが検知されていな
C50.5 問い合わせ（本いリムーバルメディアのみの機能起動のトリガー）の接続、外部ネットワークと未達の未接続
C51.1 離着岸操船計画の取得タイミングの誤り
C51.2 入力情報(制御
量計算に必要な情報)の・システム故障時の警報
取得タイミングの誤り・シミュレーションによる事
C51.3 制御量計算アル前検証
ゴリズムの不具合（制御・一定時間超過時の警離着岸操船計画に基づく
量計算に時間が掛かり過告発出51 制御量の計算の実施がID49と同じぎる）
・ウィルス検知ソフトにより遅すぎる/早すぎる
C51.4 船舶制御システ
ウィルスが検知されていな
ムの不具合・故障
いリムーバルメディアのみの
C51.5 マルウェアの侵入
接続、外部ネットワークとやハッキングの未接続
C51.6 問い合わせ（本機能起動のトリガー）タイ
ミングの誤り

2

2

2

5

4

5

― 127 ―

7 ID1と同じ

6 ID1と同じ

7 ID1と同じ

2

2

2

5

4

5

7 ID1と同じ・制御量計算アルゴリズムの改良・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）

6 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・挙動の検証機構の導入（接岸速度の見張りなど）
・問い合わせ元は、応答がなけ
れば、新しい入力情報で再問合わせをする機構にする・再問合わせでも応答がない
場合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

7 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・挙動の検証機構の導入（接岸速度の見張りなど）
・問い合わせ元は、応答が遅ければ、新しい入力情報で再問い合わせをする機構にする・応答が間に合わない場合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

52 舵/機関の制御の誤り

E52.1 航行不能
E52.2 航路逸脱
C52.1 制御量計算の誤E52.3 他船/物標、座礁 ・システムの事前検証
りの危険性がある地点に異 ・アクチュエータ不具合・故C52.2 アクチュエータの不
常接近
障時の警報
具合・故障
E52.4 衝突、座礁、転覆・沈没

C53.1 入力情報(制御量)の未取得C53.2 アクチュエータの不53 舵/機関の制御の未実施 具合・故障
ID52と同じ
C53.3 問い合わせ（本機能起動のトリガー）の未達

・アクチュエータ不具合・故
障時の警報
・制御量未取得時の警報・一定時間超過時の警
告発出

2

2

4

4

6 ID1と同じ

6 ID1と同じ

2

2

4

4

6 ID1と同じ

・信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・舵/機関の状態が誤っている
場合の対処機能の導入（当該システムの再起動など。）

6 ID1と同じ

・信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・舵/機関の制御が行われていない場合の対処機能の導入（当該システムの再起動など。）
・問い合わせ元は、応答がなけ
れば、新しい入力情報で再問合わせをする機構にする・再問合わせでも応答がない
場合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

C54.1 入力情報(制御量)の取得タイミングの誤り
C54.2 アクチュエータの不舵/機関の制御の実施が54
具合・故障
ID52と同じ
遅すぎる/早すぎる
C54.3 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りID53と同じ

2

4

6 ID1と同じ

2

4

6 ID1と同じ

・信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・舵/機関の制御の遅れが一定以上の場合の対処機能の導入（当該システムの再起動など。）
・問い合わせ元は、応答が遅ければ、新しい入力情報で再問い合わせをする機構にする・応答が間に合わない場合の対処機能の導入（自動化レベルに応じて、人または機械で実装）

C55.1 船舶制御システ
ムの舵/機関状態診断機
能の不具合・故障
C55.2 船舶制御システ
ムの舵/機関状態診断機
舵/機関の状態の診断の55
能のアルゴリズム間違い ID7と同じ誤り
C55.3 入力情報(舵/機関状態診断に必要な情報)の誤り
C55.4 マルウェアの侵入やハッキングID7と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

・舵/機関状態診断機能のア
ルゴリズムの改良― 128 ―

C56.1 船舶制御システ
ムの舵/機関状態診断機
能の不具合・故障
舵/機関の状態の診断の C56.2 入力情報(舵/機56
ID８と同じ
未実施
関診断に必要な情報)の未取得
C56.3 マルウェアの侵入やハッキングID8と同じ2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID55と同じ

C57.1 船舶制御システ
ムの舵/機関状態診断機
能の不具合・故障
C57.2 船舶制御システ
ムの舵/機関状態診断ア
ルゴリズムの不具合（自舵/機関の状態の診断の57
己診断演算に時間が掛 ID9と同じ実施が遅すぎる/早すぎる
かり過ぎる）
C57.3 入力情報(舵/機関状態診断に必要な情報)の取得タイミングの誤り
C57.4 マルウェアの侵入やハッキングID9と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID55と同じ

ID7と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID13と同じ

ID8と同じ2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID13と同じ

C58.1 船舶制御システ
ムの自己診断機能の不具合・故障
C58.2 船舶制御システ
ムの自己診断機能のアル58 自身の状態の診断の誤り ゴリズム間違い
ID7と同じC58.3 入力情報(自己診断に必要な情報)の誤り
C58.4 マルウェアの侵入やハッキング
C59.1 船舶制御システ
ムの自己診断機能の不具合・故障・停止
自身の状態の診断の未 C59.2 入力情報(自己59
ID８と同じ実施
診断に必要な情報)の未取得
C59.3 マルウェアの侵入やハッキング― 129 ―

60

自身の状態の診断の実施が遅すぎる/早すぎるC60.1 船舶制御システ
ムの自己診断機能の不具合・故障
C60.2 船舶制御システ
ムの自己診断アルゴリズムの不具合（自己診断演
算に時間が掛かり過ぎ
ID9と同じる）
C60.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C60.4 マルウェアの侵入やハッキングID9と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID13と同じ

自律運航管理システム
・各システム故障時の警報
C61.1 自律運航管理シ・ODD入力時のダブル
ステムの不具合・故障
E61.1 ODD外での自律チェック
C61.2 自律運航管理シ 離着岸操船・航路逸脱時の警報
ステムの操船モード切替ア E61.2 航路逸脱
・操船モード切替指示機
操船モード切替指示の誤 ルゴリズムの間違い
E61.3 他船/物標、座礁
61
能のシミュレーションによるりC61.3 入力情報(操船 の危険性がある地点に異事前検証
モード切替判断に必要な 常接近・ウィルス検知ソフトにより情報)の誤りE61.4 衝突、座礁、転ウィルスが検知されていな
C61.4 マルウェアの侵入 覆・沈没
いリムーバルメディアのみのやハッキング
接続、外部ネットワークと
の未接続

2

5

7 ID1と同じ

2

5

7 ID1と同じ・操船モード切替アルゴリズムの改良・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）

・各システム故障時の警報・一定時間超過時の警告発出・ODD入力時のダブル
チェック・航路逸脱時の警報
・操船モード切替指示機
能のシミュレーションによる事前検証
・ウィルス検知ソフトによりウィルスが検知されていな
いリムーバルメディアのみの接続、外部ネットワークと
の未接続

2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID2と同じC62.1 自律運航管理シ
ステムの不具合・故障
C62.2 自律運航管理シ
ステムの操船モード切替ア
ルゴリズムの間違い
C62.3 入力情報(操船操船モード切替指示の未62
モード切替判断に必要な ID61と同じ実施情報)の誤りC62.4 マルウェアの侵入やハッキング
C62.5 問い合わせ（本機能起動のトリガー）の未達― 130 ―

C63.1 自律運航管理シ
ステムの不具合・故障
C63.2 自律運航管理シ
ステムの操船モード切替ア
ルゴリズムの不具合（操船モード切替判断の計算に時間が掛かり過ぎる）
操船モード切替指示の実 C63.3 入力情報(操船63
ID61と同じ
施が遅すぎる/早すぎる モード切替判断に必要な情報)の取得タイミングの誤り
C63.4 マルウェアの侵入やハッキング
C63.5 問い合わせ（本機能起動のトリガー）タイ
ミングの誤りID62と同じ

2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID3と同じC64.1 自律運航管理シ
ステムの自己診断機能の不具合・故障C64.2 自律運航管理シ
ステムの自己診断機能の64 自身の状態の診断の誤り アルゴリズム間違い
ID7と同じC64.3 入力情報(自己診断に必要な情報)の誤り
C64.4 マルウェアの侵入やハッキングID7と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID13と同じ

C65.1 自律運航管理シ
ステムの自己診断機能の不具合・故障・停止
C65.2 入力情報(自己ID８と同じ
診断に必要な情報)の未取得
C65.3 マルウェアの侵入やハッキングID8と同じ2

4

6 ID1と同じ

2

4

6 ID1と同じ

ID13と同じ

65

自身の状態の診断の未実施― 131 ―

66

自身の状態の診断の実施が遅すぎる/早すぎるC66.1 自律運航管理シ
ステムの自己診断機能の不具合・故障C66.2 自律運航管理シ
ステムの自己診断アルゴリ
ズムの不具合（自己診
断演算に時間が掛かり過 ID9と同じぎる）
C66.3 入力情報(自己診断に必要な情報)の取
得タイミングの誤り
C66.4 マルウェアの侵入やハッキングID9と同じ2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID13と同じ

7 ID1と同じ

・船員モニタリングシステム及び居眠り防止システムの導入検討・各種状況に応じた
MRM/MRCの網羅性の検証
・待機船員のワークロード管理（従事可能な業務の制限）

7 ID1と同じ

・船員モニタリングシステム及び居眠り防止システムの導入検討・各種状況に応じた
MRM/MRCの網羅性の検証
・待機船員のワークロード管理（従事可能な業務の制限）
・待機船員の居場所の制限

船員

C67.1 昇橋の未実施
C67.2 昇橋の必要性やシステムからの指示の理解
自律運航管理システムか不足による昇橋の未実施
67 らの指示に基づく昇橋のID61と同じ
C67.3 不適切なHMI等
未実施
により指示が把握できないC67.4 他タスクによる拘束・一定時間経過後も船員が対応しない場合は
MRM/MRCへ移行
・適切なHMI設計と検証

C68.1 昇橋が遅れる,居場所が遠い
C68.2 不適切なHMI等
により指示の把握に時間
自律運航管理システムかが掛かり昇橋の実施が遅68 らの指示に基づく昇橋のID61と同じれる
実施が遅すぎる/早すぎるC68.3 自律運航管理シ
ステムの指示が遅すぎる
C68.4 他タスクからの解
放に時間がかかる・適切なHMI設計と検証
・一定時間経過後も船員が対応しない場合は
MRM/MRCへ移行
・適切なタイミングでの指示のための自律運航管理システムのアルゴリズム検
証

2

2

5

6

― 132 ―

7 ID1と同じ

8 ID1と同じ

2

2

5

5

C69.1 現在状況について誤った理解をさせるようなHMI
C69.2 船員がシステムのE69.1 誤った理解に基づ操作方法を理解していな
く手動操船・適切なHMI設計と検証
いE69.2 他船/物標、座礁 ・船員の事前訓練
C69.3 システムの不具
69 現在状況の把握の誤りの危険性がある地点に異 ・一定時間経過後も船合・故障による誤った情常接近員が対応しない場合は報表示
E69.3 衝突、座礁、転 MRM/MRCへ移行
C69.4 表示情報の見間
覆・沈没違い，解釈の誤り
C69.5 同時発生タスクによる注意散漫、時間的切迫
C70.1 現在状況の把握
E70.1_1 ODD外での自が困難なHMI
律操船
C70.2 船員がシステムのE70.1_2 誤った理解に操作方法を理解しておら基づく手動操船ず現在状況の把握ができ
現在状況の把握の未実
E70.2 航路逸脱
70
ない
ID69と同じ
施
E70.3 他船/物標、座礁
C70.3 システムの不具の危険性がある地点に異合・故障により現在状況
常接近の把握ができないE70.4 衝突、座礁、転C70.4 同時発生タスクに
覆・沈没
よる失念
C71.1 操作が困難な
HMI又は現在状況の把握が困難なHMIのために現在状況の把握に時間 E71.1 ODD外での自律が掛かる
操船
C71.2 船員がシステムの E71.2 航路逸脱
現在状況の把握の実施 操作方法を理解しておら E71.3 他船/物標、座礁
71
ID69と同じが遅すぎる/早すぎるず現在状況の把握に時 の危険性がある地点に異
間が掛かる
常接近
C71.3 システムの不具
E71.4 衝突、座礁、転合・故障により現在状況 覆・沈没の把握に時間が掛かる
C71.4 同時発生タスクによるリソース不足

2

5

7 ID1と同じ

2

5

7 ID1と同じ・システムの信頼性向上策（冗長化等）の検討（費用対効果検討含む）
・各種状況に応じた
MRM/MRCの網羅性の検証
・船員に昇橋を求める状況でのワークロード管理（発生しうるタスクの量に応じた船員数の確保、船員に昇橋を求める状
況で使用可能な自動化の導入などによるリソースの補充）2

5

7 ID1と同じ

2

4

6 ID1と同じ

ID69と同じ

2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID69と同じ― 133 ―

システムからの操船モード
72 切替指示に基づく操船
モード切替の誤りシステムからの操船モード
73 切替指示に基づく操船
モード切替の未実施

74

システムからの操船モード
切替指示に基づく操船
モード切替の実施が遅す
ぎる/早すぎる

75 手動操船の誤り

C72.1 操船モード切替
機能の不具合・故障
C72.2 船員が操船モード
切替方法に習熟していな
ID61と同じ
いC72.3 同時発生タスクによる注意散漫/時間的切迫
C73.1 昇橋の未実施
C73.2 操船モード切替
操作の必要性の理解不足C73.3 操船モード切替の把握が困難なHMI
ID61と同じ
C73.4 操船モード切替
機能の不具合・故障
C73.5 操船モード切替
指示が発令されない
C73.6 同時発生タスクによる失念
C74.1 操作方法の理解不足
C74.2 操船モード切替の必要性の把握が困難な
HMIのために操船モード
切替に時間が掛かる
ID61と同じ
C74.3 操船モード切替
機能の不具合・故障
C74.4 操船モード切替
指示の発令が遅すぎる
C74.5 同時発生タスクによるリソース不足

・各システム故障時の警報・船員の事前訓練・操船モード切替方法のマニュアル整備2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID69と同じ

・各システム故障時の警報・一定時間超過時の警告発出・船員のシステムへの理解力向上のためのマニュアル
整備
・適切なHMI設計と検証

2

5

7 ID1と同じ

2

4

6 ID1と同じ

ID69と同じ

ID73と同じ

2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID69と同じ

7 ID1と同じ・手動操船システムの点検・手動操船システムの適切なHMI設計
・船員に昇橋を求める状況でのワークロード管理（発生しうるタスクの量に応じた船員数の確保、船員に昇橋を求める状
況で使用可能な自動化の導入などによるリソースの補充）

C75.1 手動操船システ
ムの不具合・故障
C75.2 船員が手動操船システムの操作方法を理解していないE75.1 船員の意図とはC75.3 他船の動向等の 異なる手動操船
推測誤り
E75.2 他船/物標、座礁 ・手動操船システムの冗C75.4 船員が手動操船 の危険性がある地点に異 長化に習熟していない
常接近・船員の事前訓練
C75.5 船員が長期間自 E75.3 衝突、座礁、転動操船に頼りきりで，手 覆・沈没
動操船技能が低下
C75.6 同時発生タスクによる注意散漫/時間的切
迫

26― 134 ―

8 ID1と同じ

2

5

76 手動操船の未実施

77

手動操船の実施が遅す
ぎる/早すぎる

C76.1 手動操船システ
ムの不具合・故障
E76.1 手動操船や自律C76.2 船員が手動操船 操船に基づかない運航
システムの操作方法を理 E76.2 他船/物標、座礁
解していないの危険性がある地点に異 ID75と同じ
C76.3 手動操船への切 常接近替が未実施
E76.3 衝突、座礁、転C76.4 同時発生タスクに 覆・沈没
よる失念
C77.1 手動操船システ
ムの不具合・故障
C77.2 船員が手動操船
E77.1 誤った操船システムの操作方法を理E77.2 他船/物標、座礁
解していないの危険性がある地点に異C77.3 他船の動向等のID75と同じ
常接近
推測誤り
E77.3 衝突、座礁、転C77.4 手動操船への切
覆・沈没
替が遅れる
C77.5 同時発生タスクによるリソース不足

2

5

7 ID1と同じ

2

5

7 ID1と同じ

ID75と同じ

2

6

8 ID1と同じ

2

5

7 ID1と同じ

ID75と同じ

5・各システムの操作方法のマニュアル整備
・シャドー要員の事前訓
練・適切なHMI設計と検証・システム故障時の警報・実証実験時にはメーカー
7
技師等も同乗・シャドー要員のワークロー
ド管理（タスク量に応じたシャドー要員数の確保、使用可能な自動化の導入などによるリソースの補
充）

2

4

6 ID1と同じ

NA

シャドー要員C78.1 現在状況について誤った理解をさせるようなHMI
C78.2 シャドー要員がシ
ステムの操作方法を理解
各システム、周辺状況等
78
していない
ID1と同じの常時モニタリングの誤り
C78.3 システムの不具合・故障による誤った情
報表示
C78.4 他タスクによる注
意散漫、時間的切迫NA2― 135 ―

C79.1 現在状況の把握が困難なHMI
C79.2 シャドー要員がシ
ステムの操作方法を理解
各システム、周辺状況等 しておらず現在状況の把79 の常時モニタリングの未実 握ができない
ID1と同じ施
C79.3 システムの不具合・故障により現在状況の把握ができないC79.4 シャドー要員の急病/居眠り/他タスク等

NA

2

5

7 ID78と同じ

2

4

6 ID1と同じ

NA

C80.1 操作が困難な
HMI又は現在状況の把握が困難なHMIのために現在状況の把握に時間が掛かる
C80.2 シャドー要員がシ各システム、周辺状況等
システムの操作方法を理80 の常時モニタリングの実施
ID1と同じ
解しておらず現在状況のが遅すぎる/早すぎる
把握に時間が掛かる
C80.3 システムの不具合・故障により現在状況の把握に時間が掛かる
C80.4 シャドー要員の急病/居眠り/他タスク等

NA

2

5

7 ID78と同じ

2

5

7 ID1と同じ

NA

6・操船モード切替方法のマニュアル整備
・シャドー要員の事前訓
練・シャドー要員のワークロー
8
ド管理（タスク量に応じたシャドー要員数の確保、使用可能な自動化の導入などによるリソースの補
充）

2

5

7 ID1と同じ

NA

C81.1 操船モード切替
機能の故障
C81.2 シャドー要員が操
緊急時対応（手動操船81
船モード切替方法に習熟 ID1と同じ強制切替）の誤り
していない
C81.3 他タスクによる注
意散漫、時間的切迫NA2― 136 ―

C82.1 自律操船システ
ムへの過信
C82.2 シャドー要員が現
状が緊急時であることを把握していない（自船性
能や現在の自船/周囲/環境等の情報に対する緊急時対応（手動操船 誤った認識）
82
ID1と同じ強制切替）の未実施
C82.3 船員が対応すると考えて、シャドー要員は対応しない
C82.4 シャドー要員が操船モード切替方法に習熟していない
C82.5 シャドー要員の急病/居眠り/他タスク等
C83.1 操船モード切替
機能の故障
C83.2 シャドー要員が操船モード切替方法に習熟
緊急時対応（手動操船していない
83 強制切替）の実施が遅ID1と同じC83.3 船員が対応するとすぎる/早すぎる
考えて、シャドー要員の対応が遅れる
C83.4 シャドー要員の急病/居眠り/他タスク等

NA

NA

2

2

6

6

― 137 ―

8 ID81と同じ

8 ID81と同じ

2

2

5

ID1と同じ※船員の対応は期待せずに
7 少しでも危険を感じたらシャNA
ドー要員が対応することを徹底する

5

ID1と同じ※船員の対応は期待せずに
7 少しでも危険を感じたらシャNA
ドー要員が対応することを徹底
する

参考文献
[1] IMO: MSC.1/Circ.1455 Guidelines for the approval of alternatives and equivalents as provided
for in various IMO instruments (2013)[2] ClassNK：リスク評価ガイドライン，第 2 版 (2017)[3] 国土交通省海事局：自動運航船に関する安全ガイドライン(2022)[4] ClassNK：自動運航，自律運航に関するガイドライン(Ver.1.0) ～自動化システム／遠隔制御システムの設計開発，船舶搭載並びに運用について～(2020)[5] IMO: MSC.1/Circ.1212 Guidelines on alternative design and arrangements for SOLAS chapters
II-1 and III (2006)[6] IMO: MSC/Circ.1002 Guidelines on alternative design and arrangements for fire safety (2001)[7] IMO: MSC-MEPC.2/Circ.12 Revised guidelines for formal safety assessment (FSA) for use in
the IMO rule-making process (2013)[8] Bureau Veritas: Guidelines for Autonomous Shipping (2019)[9] DNV-GL: Autonomous and remotely operated ships (2018)[10] 塩苅他：システムモデリングによるリスク解析手法の自動運航船の概念設計への適用，
日本船舶海洋工学会春季講演会論文集第 32 号，pp.355-366 (2021)[11] MUNIN: D9.2, Qualitative assessment, FP7 GA-No 314286 (2015)[12] EMSA: Study of the risks and regulatory issues of specific cases of MASS – Part 1, Report No.
2019-1296, Rev.0 (2020)[13] EMSA: Study of the risks and regulatory issues of specific cases of MASS – Part 2, Report No.
2019-0805, Rev.0 (2020)[14] USTRAT: AUTOSHIP D2.4a – Risk assessments, fail-safe procedures and acceptance criteria
The Inland Waterway vessel analysis (2020)[15] ISO/IEC 31010 (Risk management – Risk assessment techniques)[16] ISO/IEC 27005 (information technology – Security techniques – Information security risk
management)[17] IEC 60812:2006 (Analysis technique for system reliability – Procedure for failure mode andeffects analysis (FMEA))[18] IEC 61882:2016 (Hazard and operability studies (HAZOP studies) – Application guide)[19] NK： リスク評価ガイドライン(第 2 版) 付属書 1 FMEA の実施に関するガイドライン（IGC コード関連）[20] N. G. Leveson and J. P. Thomas: STPA HANDBOOK, 2018.
[21] IMO: MSC.97(73) Adoption of the international code of safety for high-speed craft, 2000 (2000
HSC code) (2000)[22] IPA/SEC: STAMP 手法に関する調査報告書 (2015)[23] 福澤:

STAMP/STPA によるシステム安全・セキュリティ解析，システム／制御／情報，― 138 ―

Vol.62, No.4, pp.130-133 (2018)― 139 ―