ソフトウェア・シンポジウム 2023 in 仙台

STAMP/STPA による農業用ハウスの運用シナリオの分析
日下部 茂
長崎県立大学鍵 文音
長崎県立大学要旨
農業用ハウスを用いる施設栽培では外界とハウス内耕地を分離し，外部環境の影響を抑えて内部環境を制御することにより作物に適した環境を管理・調整し，安定した収穫を可能とする．そのような施設栽培でハウス内環境を制御している代表的な機器として，温度を制御する暖房機，日長を制御する照明機と遮光装置，水やりを自動的に行う灌水装置，光合成に必要不可欠な二酸化炭素を放出する二酸化炭素発生装置などがある．農業用ハウ
スのライフサイクルではそのような機器構成に変更が生じる可能性があり，その際は運用シナリオも再考する必要がある．我々はそのような運用者のシナリオの分析に，制御の観点で対象システムをモデル化して分析する
STAMP/ STPA を適用する研究を行っている．本稿では事例として，二酸化炭素発生装置と天窓，暖房機の組み合わせからなるシステムを対象に，運用者による実践を想定したモデル化と分析を行い，その有効性を確認した．

有田 大作
長崎県立大学素発生装置などがある．今挙げたものは日本でのハウス農業に導入されている機器の一部である．より精緻に，安定して環境を制御して栽培を行いたいと考える農家はこれ以上の機器を取り入れている所もある．このような農業用ハウスの典型的な運用シナリオは，IT 化された自動制御を農家が利用するもので，図 1 のように農業用ハウス内のシステムと人による制御の組合わせで実現される．
農業用ハウスの施設栽培の場合，外界とハウス内耕地を分離し，内部環境を作物に適した環境に制御することにより安定した収穫を目指す．下向きの矢印は何らかの制御，上向きの矢印は何らかのフィードバックを概念的に示している．制御階層の最上位には農家，施設内環境に直接的に働きかけるのは農業用ハウスシステムである．

1. はじめに1.1. 背景
農業用ハウスを用いる施設栽培では外界とハウス内耕地を分離し，外部環境の影響を抑えて内部環境を制御することにより作物に適した環境を管理・調整し，安定した収穫を可能とする．より具体的には，⚫ 日射量や温度などの環境条件を調整することで，本来とは異なる収穫時期にずらして作物の希少性を高め，収入の増加につなげることができる，⚫ 台風や日照りなどの天候災害，虫や鳥獣といった被害から作物を守ることができる，⚫ 悪天候による作業の遅れがなく計画通りに作物栽培を行うことが出来る，といった利点がある．
そのような施設栽培でハウス内環境を制御している代
表的な機器として，温度を制御する暖房機，日長を制御する照明機と遮光装置，水やりを自動的に行う灌水装置，光合成に必要不可欠な二酸化炭素を放出する二酸化炭112

図 1 農業用ハウス管理の概念的なモデル
このような農業用ハウスの制御機器は複数種類ありハウスを建てた当初から全て導入されているとは限らない．
何らかの契機での追加導入の可能性があり，そのような追加導入は，以下のような理由でハウス建築当初からは計画されてない場合も多い．
1. 政府の補助金を利用した機器導入が検討され，補助金の条件への適合度を優先して導入機器の選定が行われる場合がある．
2. ハウス建設時に普及していた機器を導入済でも，後に登場した新しい機器等を導入する場合がある．
このような制御機器の追加的拡張はシステムレベルでの運用シナリオの問題を生じることがある．また，追加でSEA

ソフトウェア・シンポジウム 2023 in 仙台

なくとも，既存ハウスを他者に譲渡したような場合，新しい所有者は適切な運用シナリオを把握していない場合がある．以下，そのような運用シナリオに関し，農業用ハウスのライフサイクルの特性に起因する問題について論じる．
1.2. アプローチの概要
農業用ハウスシステムで理想的な運用を実現するには，以下の点が重要と考える．
⚫ 目的が適切に定義されているか⚫ 対象を観測できるか⚫ 適切な制御を判断できるか⚫ 対象に制御を伝達できるか⚫ 実際に制御が実行されるか
これらの点をふまえ農業用ハウスシステムの運用シナリオの問題に対し，制御の観点でモデルを構築し，栽培管理で守るべき制約などを分析する研究を行っている[1]．
広義の安全工学の知見を農業用ハウスの制御に応用するため，モデリングに STAMP (System-Theoretic Accident
Model & Processes) [2]を用いている．
図 2 のような社会技術システムの開発と運用での体制と相互作用の視点で見ると，前述の農業用ハウスの運用シナリオの問題は，図 2 の下部中ほどに点線の楕円で囲った部分の改定運用手順の獲得に相当すると考える．シナリオベース設計[4]やユースケースシナリオ作成，シナリオテストなどもシナリオ観点の活動だが開発プロジ
ェクト内部で実施され開発ドキュメントにもアクセス可能である．一方ここで対象とする農業用ハウス運用手順の獲得は開発プロジェクト外で開発ドキュメントへのアクセスや開発者の関与が必ずしも期待できない場合がある．
本稿では，事例として，二酸化炭素発生装置と天窓，暖房機の組み合わせを用いる農業用ハウスシステムを対象に STAMP によるモデル化と STPA(System-TheoreticProcess Analysis)[3]を用いた分析を行う．STAMP/STPAにはハンドブックが公開され，その中に適用時のヒントなども書かれているが，それに加え運用者レベルのガイドラインの抽出も目指す，本稿の構成は以下の通りである．
第 2 節で，農業用ハウスについて説明する．第 3 節では，STAMP/STPA について述べる．第 4 節では，事例のモデリングについて論じる．第 5 節ではまとめを述べる．

2. 農業用ハウス
2.1. ハウス内環境とハウス内機器
農業用ハウス内で，植物に影響を与える条件の代表的なものとして，温度，湿度，二酸化炭素濃度，土壌水分，風量，日射量といったものがある．これらのバランスによって作物の生長に差が出る．そのような複数のハウス内環境条件を制御して所定の作物を収穫するため複数の機器が導入されることがある．以下に，日本のハウスで使われる代表的な機器を挙げる．
⚫ 暖房機：ハウス内温度を上昇させるために使用．
⚫ 循環扇：ハウス内の空気を循環させ，空気を全体的

図 2 社会技術システムの開発と運用での制御構造

113

SEA

ソフトウェア・シンポジウム 2023 in 仙台に均一にするために使用．
⚫ 灌水装置：水をやる装置．
⚫ 天窓と側窓：窓を開閉し，外気を取り入れ，ハウス内環境をハウス外環境と同様にするために使用．
⚫ 照明機：植物の光合成には光が必要なので，光量を増やすために使用される．
⚫ 遮光装置：植物に光が当たりすぎても良くないので，カーテンのようなもので日光を遮るために使用．
⚫ ミスト発生装置：ミストを発生させ，ハウス内の気温を下げるために使用．
⚫ 二酸化炭素発生装置：燃料を燃やして光合成に必要な二酸化炭素を発生させるために使用．
例えば，二酸化炭素について説明する．大気の二酸化炭素濃度は約 400ppm であるが，光合成後のハウス内濃度は 100ppm 以下になることも多々ある．そのような低い濃度は植物には不適切であり，その防止のため二酸化炭素発生装置が用いられる．また，二酸化炭素発生装
置は光合成の活性化のため，二酸化炭素濃度を 800～1000ppm にするためにも使用される．このような制御機器と制御される環境条件の組み合わせを表 1 に示す．
表 1 制御機器と主に制御される環境条件

ナリオの改定が必要であるが，適切な分析の不足により想定していなかった動作が引き起こされる場合がある．
説明のための仮の例として，二酸化炭素発生装置と天窓を備えたハウスで，二酸化炭素濃度を上げる際の天窓のいわゆるフィーチャインタラクション[5]の可能性について述べる．二酸化炭素濃度を大気中より高くして光合成を活性化するために二酸化炭素発生装置が使用されることがある．その際に，機器間の協調がないと，ハウス内温度が天窓の設定温度よりも高くなれば，温度を下げるために天窓が自動で開く．そうすると，二酸化炭素発生装置により増加させた二酸化炭素は開いた天窓からハウス外へと放出されてしまう．このように，各機器とそれらを統合した動作シナリオの分析が不足していると，環境が十分に制御されなかったり，不要なコストが発生したりといったしてしまう可能性がある．想定していなかった相互作用によりシステムの目標達成が失敗したり悪影響を受けたりするような不具合を分析するため，システム理論に基づき，相互作用によって起こり得る不具合も分析可能
な STAMP/STPA を用いたモデリングと分析を行う．

3. STAMP/STPA
本稿では，農業用ハウスシステムの栽培管理のモデル化とシナリオ分析に用いる STAMP/STPA を概説する．

暖 循 灌 天 照 遮 CO ミ
房 環 水 窓 明 光 2 ス
機 扇 装 ・ 機 装 発 ト置 側置 生 発窓装 生置 装置温度✓✓✓
湿度✓
CO2 濃度
✓
土壌水分✓
風量
✓
日射量
✓ ✓

3.1. モデル表現
STAMP によるモデル表現では図 3 の基本構造が示すようなモデル要素を持っており，図 1 に示されたような構造を持つ農業ハウスシステムの分析に有用と考える．
⚫ コントローラとコントロール対象のプロセス⚫ それらのプロセス間での制御とフィードバック⚫ コントローラが持つ対象プロセスのモデル

2.2. 農業用ハウスの運用シナリオの問題
ハウス内の環境条件を制御する際，まずそれらの環境条件の値を観測し，農家や導入機器のコントローラが，それらの観測値に基づいて対応する機器を制御してハウス内環境を変化させ，それにより作物の成長の制御を試みる．このような制御に用いる機器はハウスを建てた当初から全て導入されているとは限らず，追加導入されることもある．その際，機器同士の相互作用を分析の上で運用シ

図 3 STAMP の基本的制御構造のモデル
図 3 の STAMP モデルの基本構造は，コントローラとそれによってコントロールされる対象プロセスからなる．コ

114

SEA

ソフトウェア・シンポジウム 2023 in 仙台

ントローラはプロセスモデルとアルゴリズムを持つ．プロセスモデルはコントロール対象のプロセスの状態をモデル化したものである．プロセスの状態は，プロセスをセンサ等で観測した観測値として表される．アルゴリズムはプロセスの状態をもとにコントロール対象プロセスへのアクションを決める．コントロール対象のプロセスからのフィードバックによって，プロセスモデルの観測値は更新され，再度新しい観測値を参照してアルゴリズムがアクションを決定するというループ構造を形成する．
複数のコントローラや制御機器，センサを持つようなシステムも，上記基本構造の組合わせで表現できる．このよ
うな STAMP/STPA の制御構造のモデリングで農業ハウスシステムもモデル化出来ると考え本研究を実施する．

損失に繋がるようなシステムの状態や条件を列挙する．３
つ目の安全制約の識別では，ハザードを防ぐために必要なシステムの条件や動作を確定させる．４つ目のハザードの精密化では，２つ目で挙げたハザードにつながるアクションやプロセスを考える．
STEP2
STEP 2 では，システムの制御構造図を構築する．典型的な制御構造図の構築は抽象的なレベルから始め，必要に応じて対象範囲を限定し詳細化することを繰り返す．抽象レベルの制御構造図中のコントローラやプロセスをより具体的な制御構造で表現し分析の詳細化を進める．システムのモデル化と分析の対象範囲は目的に合わせ任意に決定出来る．今回は，サブシステムを組み合わせてシステムを実現するような制御構造図の構築を行う．

3.2. 手順
STAMP/STPA の基本的な分析手順は図 4 に示すよ
うに大きく分けて 4 つのステップになっている．

STEP3

STEP1
STEP 1 は解析の目的を決める．「どのような損失をこの解析で防ぐことを目的としているか」，「解析対象のシステムは何か」というような基本的な設定を明らかにする．
今回は農業ハウスシステムを対象とし，作物が望むように収穫できないことを防止することを目的とする．STEP 1 もさらに以下の４つの手順に分けられる．
1. 損失の識別2. ハザードの識別3. 安全制約の識別
4. ハザードの精密化
１つ目の損失識別では，利害関係者に受け入れられないような人間の傷害，物的損害，ミッションの喪失などの損失を識別する．今回は２つ目のハザードの識別では，STEP 3 では，STEP 2 で作成した制御構造図を用いて分析を行う．コントロールループ内の各コントロールアクションが STEP 1 で定義したハザードに繋がる可能性があるか否かを調べる．ハザードに繋がると判断されたコントロールアクションは非安全なコントロールアクション（以下「UCA」とする）と呼ばれる．
STEP4
STEP 4 では，システム内で UCA が発生する可能性のある要因を識別する．さらに，どの要因が，どのようなUCA を引き起こし，損失に繋がる可能性があるかとどうかを説明するためにシナリオを識別する．
このような STAMP/STPA は，ボトムアップでなく，トップダウンで分析を行うため複雑なシステムでも分析しやす

図 4 STAMP/STPA の基本的な分析ステップ

115

SEA

ソフトウェア・シンポジウム 2023 in 仙台

い．また，ソフトウェア，人間，組織というような事故や因果関係要因を別々に扱うことなく１つのモデルの中で扱う．
そのため特別なＩＴの知識を持たない農業用ハウスの運用者でも UCA につながる要因の分析や，UCA が引き起こされ損失が生じるようなシナリオの分析が可能と考える．

4. 分析事例
本研究では説明のために，解析対象とする農業用ハウスの機器と環境条件を次のように限定して行った；暖房機，二酸化炭素発生装置，天窓の３つの機器と温度，二酸化炭素濃度の２つの環境条件である．このような限定された機器と環境条件であっても，追加的な組み合わせによって問題が生じ得る．このように限定された条件からはじめて，より複雑な組み合わせについても解析可能とすることを目指す．以下，人身的な傷害や農業用ハウスの物理的損壊といったものは省き，作物の望ましい収穫に焦点を当て，運用者の立場での分析について述べる．

まった時期，期間に出荷出来ることを目指している．
天窓システム
天窓についての STEP 1 の解析結果について述べる．
まず天窓システムの目的は，ハウス内温度を下げることとし，以下のような分析を行った．
⚫ 損失識別L1. 望ましいように作物が収穫できない
L2. 無駄なコストがかかる⚫ ハザード識別H1. 作物に不適切な温度になる[L1]H2. 温度管理の効率が悪い[L2]⚫ 安全制約SC1. 作物に適切な温度を保つ[H1]SC2. 温度管理を効率よく行う[H2]暖房機システム
暖房機についての STEP 1 の解析結果について述べる．まず暖房機システムの目的は，ハウス内温度を上げることとし，以下のような分析を行った．
⚫ 損失識別L1. 望ましいように作物が収穫できない
L2. 無駄なコストがかかる⚫ ハザード識別H1. 作物に不適切な温度になる[L1]H2. 温度管理の効率が悪い[L2]⚫ 安全制約SC1. 作物に適切な温度を保つ[H1]SC2. 温度管理を効率よく行う[H2]4.1. STEP 1: 解析目的の決定
ハウス内機器システム
まず農業用ハウス内システム全体について検討した．
その STEP 1 の解析結果について述べる．まず，対象シ
ステムとシステムの目的は，望ましい収穫のためハウス内環境を効果的に制御することとした．
⚫ 損失識別L1. 望ましいように作物が収穫できない（３つの定（定量・定品質・定時）が守れない）
L2. 無駄なコストがかかる⚫ ハザード識別H1. 3 つの定に適したハウス内環境を制御できない[L1]
H2. ハウス内環境の制御の効率が悪い[L2]⚫ 安全制約SC1. 3 つの定に適したハウス内環境を維持する[H1]SC2. 効率よくハウス内環境を制御する[H2]⚫ ハザードの精密化
H1.1 ハウス内温度が適正値より高い
H1.2 ハウス内温度が適正値より低い
H1.3 ハウス内二酸化炭素濃度が適正値より低い
H2.1 ハウス内環境の制御が阻害されている
H2.2 ハウス内環境の制御が打ち消されている
L1 の３つの定というのは，農業をするにあたって農家が意識している 3 項目のことである．一定量を定品質で，定二酸化炭素発生装置二酸化炭素発生装置についての STEP 1 の解析結果について述べる．二酸化炭素発生装置の目的は，二酸化炭素濃度を上げることとし，以下のような分析を行った．
⚫ 損失識別L1. 望ましいように作物が収穫できない
L2. 無駄なコストがかかる⚫ ハザード識別H1. 作物に不適切な二酸化炭素濃度になる[L1]H2. 二酸化炭素濃度管理の効率が悪い[L2]⚫ 安全制約SC3. 作物に適切な二酸化炭素濃度を保つ[H1]SC4. 二酸化炭素濃度管理を効率よく行う[H2]

116

SEA

ソフトウェア・シンポジウム 2023 in 仙台

4.2. STEP 2: 制御構造図
農業用ハウスシステムは後付的に拡張される傾向があるため，個別機能の制御構造図をまず考え，それらを合成して農業用ハウスシステム全体の制御構造図を考える．
また，例えば[6]のような製品資料といった，運用者の立場で入手可能な資料や，システムを目視して得られる情報から判断可能なレベルの詳細度を想定する．
天窓システム
天窓の制御構造図を図 5 に示す．天窓には，ハウス内環境の温度データを得る温度センサとハウス外環境である雨量，風速，風向のデータを得るセンサがついている．設定温度よりもハウス内温度が高くなれば天窓を開け，温度が下がると天窓を閉めるよう制御する．ただし，風速と風向の観測値をもとに，風が強い場合は風上の天窓は開けずに風下の天窓だけ開け，風がより強い場合は風下の天窓も開けないという制御も行っている．このようにして天窓はハウス内温度について環境制御している．

図 6 暖房機の制御構造
CO2 発生装置
二酸化炭素発生装置の制御構造を図 7 に示す．二酸化炭素発生装置には，ハウス内環境である二酸化炭素濃度のデータを得るセンサがついている．この観測値を元に，設定濃度よりも二酸化炭素濃度が低くなったら装置を稼働させ，二酸化炭素濃度を上げるということを行い，ハウス内二酸化炭素濃度について環境制御している．

図 5 天窓の制御構造
図 7 CO2 発生装置の制御構造

暖房機システム
暖房機システムの機制御構造を図 6 に示す．ハウス内環境である温度のデータを得る温度センサの観測値を元に，設定温度よりもハウス内温度が低くなっていたら暖房機の電源をいれてハウス内温度を上昇させるなどして自動的に暖房機の電源がオン・オフされハウス内温度について環境制御している．暖房機にはタイマーもついており，農家が設定した時刻になると電源が入り，その後電源が落とされるというような制御もついている．

農業用ハウスシステム
上述の天窓，暖房機，二酸化炭素発生装置の制御構
造図を 1 つにまとめ，簡略化すると図 8 になる．コントローラが持つプロセスモデルはカッコで囲んで記述している． 天窓についている温度センサと暖房機についている温度センサは別物で得られる観測値間に差が発生する可能性もある．２つの機器が独立して設置されているので天窓コントローラのプロセスモデル「温度」と暖房機コン

117

SEA

ソフトウェア・シンポジウム 2023 in 仙台

図 8 農業用ハウスシステムの制御構造図
トローラの「温度」は別物である
4.4. Step4：損失シナリオの識別4.3. STEP3：UCA の識別
UCA の識別では各制御アクションに関するハザードの可能性として，与えたから，与えなかったから，不適切な順序で与えたから，連続的アクションの長さが不適切だったから，の４つの観点から分析する．UCA は形式的には，上記４観点をタイプとし｛ソース，タイプ，コントール
アクション，コンテクスト，ハザードへのリンク｝というタプルで表現される．典型的には，表形式で各制御アクションに対する前述の４つの観点での分析を記述しながら分析を行うがそのような表は一般にかなり大きなサイズになる．
ここではその一部として天窓コントローラが天窓開放指示を与えることによるハザードについて述べる．形式的には，ソースが「天窓コントローラ」，タイプが「与える」ことによりハザード，コントロールアクションが「天窓開放」になる．以下はそのような組み合わせの UCA で，コンテクストと，ハザードへのリンクを含んだ例である．
UCA1. {天窓コントローラ, 与える, 天窓開放, 作物育成に適したハウス内環境の時に天窓開放によってハウス内環境が外部環境と同じ状態になる, H1}
UCA2. {天窓コントローラ, 与える, 天窓開放,環境管理機能によって作物育成に適したハウス内環境にした後に天窓開放によってハウス内環境を外部環境と同じ状態にしてしまい環境管理機能を再実行すべき状態になる, H2}118

図 8 のようなシステム内で UCA が発生する可能性のある要因を識別する．さらに，どの要因が，どのようなUCA を引き起こし，損失に繋がる可能性があるかとどうかを説明するためにシナリオを識別する．ここではガイド
ライ ンにつながるパターンの抽出を念頭に UCA2 とUCA1 に関する分析を行う．
UCA2 に関する損失シナリオ例
天窓コントローラも暖房機のコントローラも温度をモニタリングしているが，個別のサブシステムを組み合わせて農業用ハウスシステムを構築する場合，温度センサも個別に存在し，それぞれのコントローラで個別にフィードバックを受けている可能性がある．
例えば暖房機システムの温度センサが低い位置にあり，天窓システムの温度センサ高い位置にある場合，前者が低めの温度を，後者が高めの温度をフィードバックする可能性がある．そうすると暖房機システムのコントローラは低めの温度をもとに温度を上げようとする一方，天窓システム側は高めの温度をもとに天窓を開けて温度を下げようとする状況になり得る．農業用ハウスの中で農作物が存在する位置の気温は適温であったとしても，本来不要な暖房機の稼働により燃料コストが高くなってしまう．
これは複数のコントローラが同一の被制御対象のプロセスモデルを個別に持ち，それらの間に協調がない場合は問題が発生する可能性がある，といった一般化が可能

SEA

ソフトウェア・シンポジウム 2023 in 仙台

である．このような状況は，図 9 に温度の例を模式的に示すように，御構造図上でプロセス変数の重複やコントロールプロセス間の相互作用を確認すれば良い．
このような場合は以下のような確認ガイドラインができる．
⚫ 同一制御対象に対し，複数コントローラが持つプロセスモデル変数間の同一性や変換関係の確立⚫ 複数コントローラが矛盾する指示を出す被制御対象値の分析や必要な協調の分析．

図 10 フィードバックの欠如例

図 9 温度とフィーチャインタラクションの例
UCA1 に関する損失シナリオ例
天窓システム導入の目的は暖気を排出することとされ，実製品の例でもセンサとコントローラは温度制御に対応している[6]．しかしながら，実際に天窓を開放すると温度以外の条件も外気同様になり，いわゆる副作用が生じる．
例えば天窓を開け外気を取り込むことにより，二酸化炭素濃度も大気中の二酸化炭素濃度と同等になる．一部
農家は，意図的にこの副作用を活用する一方，前述のように意図しない二酸化炭素濃度の低下となる場合もある．
このような副作用をふまえると図 8 は，天窓が二酸化炭素濃度に影響を与えることが反映されていない．この点に関連のある部分に焦点を当てた図が図 10 である．
天窓側では二酸化炭素濃度のフィードバックがない．また，そのフィードバックを加えると UCA2 の説明同様，複数コントローラ間での競合がパターンに当てはまる．これらは以下のようなガイドライン化が可能である．
⚫ コントロールアクションの副作用を確認⚫ 副作用あれば制御構造図に反映し再分析

5. おわりに農業用ハウスを用いる施設栽培では外界とハウス内耕地を分離し，外部環境の影響を抑えて内部環境を制御することにより作物に適した環境を管理・調整し，安定した収穫を可能とする．我々は，そのような農業用ハウスのライフサイクルでの運用手順の獲得や改定の問題を分119析するために，制御の観点で対象システムをモデル化して分析する STAMP/ STPA を適用している．本稿では事例として，二酸化炭素発生装置と天窓，暖房機の組み合わせを用いるシステムを対象にモデル化と分析を行った．
ライフサイクルでの開発フェーズ外の段階での，運用手順の獲得や改訂では開発者の関与や開発時の資料へのアクセスは限定されたり困難だったりする可能もある．
そのような状況でも STAMP/ STPA により有用な個別の分析や，ガイドライン化可能な知見の獲得が可能であった．事例では，制御対象の競合，安全制約維持に必要なフィードバックの欠如，といった問題の分析や視覚化に制御構造図が有効であった．事例は限定された組合せの農業用ハウスシステムであったが，引き続き研究を継続しより多くの知見の一般化やガイドライン抽出を目指す

参考文献[1] 鍵文音, STAMP/STPA による農業用ハウスにおける栽培管理制約の形式知化, 長崎県立大学卒業論
文, 2023 年 3 月[2] N. Leveson, Engineering a Safer World, MIT press,
2012.
[3] N. Leveson & J. Thomas, STPA Handbook 日本語版
(JAXA による翻訳), http://psas.scripts.mit.edu/home/
get_file2.php? name= STPA_handbook_japanese.pdf(参照 2023-05-19)[4] John M. Carroll, Making Use: Scenario Based Designof Human-Computer Interactions, MIT press, 2003
[5] Feature Interaction in Telecommunications, Vol．1VI, IOS Press（1992−2000 ）[6] 東都興業株 式会社 ，換気 シリ ーズ , https://www.
toto-vp.com/products/?ssid=1000005(参照 2023-0519)

SEA