宇宙システムにおける検証戦略の共有と品質説明力の向上～第1回DEOS協会オープンシンポジウム～

独立行政法人 宇宙航空研究開発機構
情報・計算工学センター
神戸 大輔

概要
第1部 宇宙システム開発の現状とIV&V
1.
2.
3.
4.
5.
6.
7.

宇宙システムの種類とソフトウェアの特徴
安全性・信頼性確保のための取組み
IV&VとはIV&V活動の目的
IV&V活動の効果
IV&V活動の課題と対策
GSNに対する期待

第2部 IV&Vにおけるディペンダビリティ技術～IV&Vケース～
1.
2.
3.
4.

IV&Vケースの概念（コンセプト）
IV&Vケースの工夫点
IV&Vケースの導入効果
IV&Vケースの課題と今後まとめ
2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

2

第1部
宇宙システム開発の現状とIV&V

2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

3

宇宙システム2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

4

宇宙システムの種類とソフトウェアの特徴


人工衛星





姿勢制御系、データ処理系、ミッション系、センサ系など組込み系が中心



最近は書換可能なものもある

再利用／シリーズ化

放射線の影響宇宙ステーション

2014/6/25








ロケット
航法誘導制御系など
高信頼性／多数決
ハードリアルタイム

地上管制システム

管制システム、マニピュレータ、実験装置など、膨大な数のソフトウエア
高い安全要求（2故障でも安全に！）コマンド、データ、処理の独立性
システム構成にクルーが入る

Copyright Ⓒ 2014 JAXA All Rights Reserved.



管制システム等
信頼性5宇宙分野のソフトウェアの置かれる状況• 組み込みソフトウェアとの共通課題
上流工程の不確定さ（要求元は？決まらない？）
機能要求の増加と複雑化による検証の限界
ハードウェア主体の文化開発の外注化の加速• 宇宙特有の問題
容易に修理できない開発期間が長い
製品が単発2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

6

宇宙機搭載ソフトウェアの特徴• ソフトウェアの誤動作により多大な損失が発生しうる
 もしロケットの打ち上げが失敗した場合、ロケットや搭載物（HTV、衛星等）の損失だけでなく、最悪の場合は環境の汚染や人命・財産の喪失にもつながりうる• システムの動作環境が過酷
 太陽電池の電力で駆動するが、日陰のため発電できない時間帯が存在する
 地球との通信が常に可能とは限らない 放射線によるメモリ化けが発生する• 部品交換不可 基本的にハードウェアは予備（冗長系）を搭載している 故障対応が複雑• 故障対応も含めて自律的に動作 “しなければならない” 箇所がある
 一時的に通信できない状況下で故障が発生したときの対応

2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

7安全性・信頼性確保のための取組み■独立検証及び有効性確認（Independent Verification and Validation）■出典：DEOS協会ウェブページ http://deos.or.jp/technology/process-j.html
2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

8

ソフトウエアIV&Vとは【定義】独立検証及び有効性確認（Independent Verification and Validation）
・Verification：各段階の開発成果物が、前工程からの入力情報に照らし、正しく作られているか・Validation：各段階の開発成果物が、ユーザの期待する通りに作られているか【目的】開発とは独立した組織が独立した観点・独立した技術によって、開発側では気づきにくい、ソフトウエアに関連した重要課題や問題を洗い出すこと
成果物

システム開発システム要求作成

システム仕様書

上位仕様との整合性確認：
ソフトウェア要求仕様が、システム仕様から過不足なく、適切に展開されているか確認

ソフトウェア開発
ソフトウエア要求

要要求
仕様書

ソフトウエア設計

設計書
設計書

コーディング

コード
コード

ソフトウエア試験

手順書
記録

システム試験

手順書
記録

2014/6/25

IV&V：開発側とは独立した観点・技術（例）

仕様の一貫性確認：
ソフトウエアの振る舞いについて、不安定な(未定義な)状態となることがないか確認

検証網羅性確認：仕様書で要求されている機能に対して、各試験ケースが適切に設定されているか確認

Copyright Ⓒ 2014 JAXA All Rights Reserved.

9

IV&V活動の目的
システムが致命的な状況（衛星喪失、ミッション喪失）に陥る可能性（リスク）を低減させる→ ステークホルダーにソフトウェアが「安心」であることを示す
3つの問い：
 ソフトウエアは、意図どおりに正しく振る舞うか？
Will the system software do what it is supposed to do?

 ソフトウエアは、意図しない振る舞いをしないか？
Will the system software do what it is not supposed to do?

 ソフトウエアは、不都合な事態に期待どおり振る舞うか？
Will the system software respond as expected under adverse conditions?

2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

10

IV&V活動の効果
Confidence (安心） を高める
ソフトウエアが顧客要望を満足しているのか

プロジェクト
マネージャー

開発・運用のリスクを低減する

経営者

製品の顧客

開発の後工程・運用中に検知される欠陥をより早く抽出する

IV&V活動の効果

品質の可視化

プロジェクトマイルストーン

要求フェーズ

IV&V活動への期待

開発担当

開発作業
品質の向上
設計フェーズ製造フェーズ

技術的欠陥の抽出
試験フェーズ

問題点の除去

リスク

より効果を上げるために・・・
観点・手法毎の費用対効果の蓄積

IV&V
担当

プロジェクトに合わせたデータに基づくプランニング2014/6/25

対象製品の特徴を分析

プロジェクト横断的知見の活用• 検出した問題点に関する情報の蓄積

システム・運用視点による検証観点• ミッションや運用で重要な機能やシーンを特定し、検証観点を設定

開発活動とは異なる検出技術の構築• IV&Vマニュアルの整備やフォーマルメソッドの活用等。

Copyright Ⓒ 2014 JAXA All Rights Reserved.

11

IV&V活動の課題と対策
■課題

■対策

• ステークホルダーに対する説明責任が果たせておらず、IV&Vの価値が伝わっていない• ステークホルダーに対して、IV&Vが確認した範囲と根拠を示す必要がある• IV&Vの知見の蓄積と活用がされておらず、IV&Vの強み・独自性が出せていない• IV&V活動において、何が価値のある知見なのか識別する必要がある• IV&Vエンジニアの入れ替わりが激しく、組織としてIV&Vの品質を維持できていない• IV&V初級エンジニアでも、一定レベルの品質でIV&Vを実施できる仕組みを作る必要がある

GSN（Goal Structuring Notation）を活用した”IV&Vケース”を考案し、IV&V活動に導入
2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

12

GSNに対する期待
知見の共有と活用

・IV&V検証戦略の議論
・過去の検証結果の活用

GSNによる可視化

活動プラット
フォームの構築

新たな領域へ拡大

・データ（IV&V検証戦略と結果）分析
による独自検証技術の開発
・IV&Vエンジニアの最適配置

・ドメイン知識とIV&V検証知見の分離
・新規開発プロジェクトへIV&V効果の説明

2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

13

第2部
IV&Vにおけるディペンダビリティ技術～IV&Vケース～

2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

14

IV&Vケースの概念（コンセプト）（1/4）

リスクベース
検証の可視化IV&V独自戦略• リスクに基づいた検証戦略• プロジェクト横断的な情報（不具合情報等）を活用した、開発企業（V&V）と異なる戦略

検証精度の予測• 計画時に想定の検証エビデンスを作成
2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

15

IV&Vケースの概念（コンセプト）（2/4）
開発プロジェクト

IV&V活動

リスク提示

システム要求ゴール（検証目的）

戦略

データ蓄積（GSN形式）ソフトウエア要求

提供

ソフトウエア設計

コーディング

IV&V

ソフトウェア
開発成果物

ソフトウエア試験

リスク分析

検証計画

コンテキスト不具合分析

S/W開発成果物

評価作業

エビデンス

ソフトウェア開発企業
2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

16

IV&Vケースの概念（コンセプト）（3/4）■ノードの位置付け
ノード

IV&Vケースでの位置付け

ゴール

検証目的
（特定のリスクがないこと）

コンテキスト戦略

エビデンス

ソフトウェアの状態遷移に抜けや誤りがない
状態遷移の条件分岐に着目する

仕様情報
検証観点
（検証目的を達成するための着眼点）

遷移条件に誤りがない
運用シナリオで規定された異常処理に範囲を限定する

遷移条件の抜けがない
異常時の運用シナリオに着目する

確認結果
・・・

運用シナリオにおける異常時の状態遷移の遷移条件が、ソフトウェア要求と整合している
運用シナリオとソフトウェア要求の整合性分析表

2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

17

IV&Vケースの概念（コンセプト）（4/4）

ソフトウェアの状態遷移に抜けや誤りがない

リスクベース
検証の可視化

状態遷移の条件分岐に着目する
遷移条件に誤りがない

遷移条件の抜けがない

運用シナリオで規定された異常処理に範囲を限定する

異常時の運用シナリオに着目する・・・
検証精度の予測2014/6/25

IV&V独自戦略

運用シナリオにおける異常時の状態遷移の遷移条件が、ソフトウェア要求と整合している運用シナリオとソフトウェア要求の整合性分析表

Copyright Ⓒ 2014 JAXA All Rights Reserved.

18

IV&Vケースの工夫点（1/3）
GSN作成者にメリットを出すにはGSN適用時の課題例

IV&Vケースの工夫点

表記内容が定まっていない

活用シーンを局所化

ノード（サブゴール）が増え過ぎる

GSNの評価を徹底

GSN作成者に新たな負担を強いる

GSNを前提としたIV&V活動プロセス定義
蓄積した過去戦略（GSN)の活用

IV&V計画時に活用※結果説明ではない

GSN作成者にメリット
2014/6/25

IV&V活動での実施結果

Copyright Ⓒ 2014 JAXA All Rights Reserved.

熟練者によるレビュー
GSNの評価軸を設定
IV&V独自戦略の設定
検証難易度に応じた役割の割当
検証結果のレビュー
基準に活用
19

IV&Vケースの工夫点（2/3）
GSNの評価軸を設定する
GSNのレビュー方針（抜粋）■範囲や観点の設定が適切■理解しやすい

■再利用性が高い■不具合要因と対応付けができる■論理性が高い■手法や判断基準の設定が適切■網羅性が高い2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

20

IV&Vケースの工夫点（3/3）
過去の不具合情報より、IV&V独自戦略を設定
ソフトウェアの状態遷移に抜けや誤りがない

不具合情報を基に、戦略を拡張
状態遷移の条件分岐に着目する
遷移条件に誤りがない
運用シナリオで規定された異常処理に範囲を限定する

・・・

遷移条件の抜けがない

状態遷移の終了条件に誤りがない

状態遷移の終了条件の抜けがない

異常時の運用シナリオに着目する

運用シナリオにおける異常時の状態遷移の遷移条件が、ソフトウェア要求と整合している
運用シナリオとソフトウェア要求の整合性分析表

2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

21

IV&Vケースの導入効果（1/2）• ステークホルダーへの説明力の向上

IV&Vの需要向上

 開発企業で行う検証と異なる、IV&V独自の検証内容が伝わり、より効果的にIV&V活動を行うことができる ステークホルダーからの新たな要望に応えられる• 価値ある知見の可視化

IV&Vの価値向上

 リスクベース検証に必要な知見が具体化され、不具合情報や過去のIV&V活動の結果を具体的に活用できるようになった• 一定の品質のIV&V活動の確保

IV&Vの品質維持

 計画時に検証内容が具体化され、エンジニアの能力に検証結果が左右されなくなった 難易度が高い業務に、IV&V熟練エンジニアを投入する等の分業体制が確立した

2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

22

IV&Vケースの導入効果（2/2）

作業結果

過去データの活用（不具合、IV&V結果）

戦略の可視化

直接効果

議論の活性化

知見の具体化ステークホルダーの理解促進

波及効果

技術移転の促進

分業体制の確立

エンジニアのモチベーション
向上

技術研究データの蓄積ステークホルダー
視点の獲得

2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

23

まとめ

2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

24

まとめ
知見の共有と活用

IV&Vの価値（戦略の独自性）
向上

GSNによる可視化

・IV&V検証戦略の議論
・過去の検証結果の活用
IV&Vの品質（検証精度）
維持・向上

IV&Vの需要向上

活動プラット
フォームの構築

新たな領域へ拡大

・データ（IV&V検証戦略と結果）分析
による独自検証技術の開発
・IV&Vエンジニアの最適配置

・ドメイン知識とIV&V検証知見の分離
・新規開発プロジェクトへIV&V効果の説明

2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.

25

2014/6/25

Copyright Ⓒ 2014 JAXA All Rights Reserved.