SCN-SG Safety Concept Notation Study Group
Safety Concept Description Language

モデルベース安全分析(MBSA)とSCDL-SASCN-SG SCDL-SAドラフトチーム
ガイオ・テクノロジー株式会社 田中伸明

1SCN-SG Safety Concept Notation Study Group

自己紹介

2
Safety Concept Description Language

田中伸明
 所属：ガイオ・テクノロジー株式会社
 サービス＆ツール事業本部 開発2部 AWPグループ

 技術分野： 機能安全＋モデリング(SCDL/UML/SysML)：
 DECSoS (Safecomp) 2020、自技会春季大会2020でMBSAの技術発表(名古屋市工業研究所、東芝と共同発表)
 機能安全デザインパターン(JASPAR機能安全WG : 2016年)
 エンジニアリングサービス、技術調査/技術開発を担当
 プロセス： JISX 33000シリーズ原案作成委員会
 Automotive SPICE provisional assessor
 現在、出向先にてプロセス監査業務に従事

SCN-SG Safety Concept Notation Study Group

講演の主旨：

3
Safety Concept Description Language

安全コンセプト以外の安全分析、安全論証などもSCDLで記述したいというニーズに応え、SCDL-SA(Safety Analysis/Assessment/Argument/Assurance)ドラフト作成チームが2022年4月に発足しました 本講演ではSCDL-SAに関連する技術分野であるMBSA (ModelBased Safety Analysis/Assessment)の概要と、SCDL-SAとの関係についてご紹介しますSCN-SG Safety Concept Notation Study Groupアジェンダ
1. MBSAとは 2. なぜMBSAが必要なのか 3. MBSAにはどんな技術が含まれているのか 4. SCN-SGの取り組み
 5. MBSAの難しさ、今後の課題
 6. 今後の取り組み
4
Safety Concept Description Language

SCN-SG Safety Concept Notation Study Group5

1. MBSAとは

Safety Concept Description Language

MBSA (Model-Based Safety Analysis/ Assessment :モデリング技術を安全分析に利用する技術
MBSA=安全分析+モデリング
モデリングを利用する目的は様々

MBSA

実例

形式手法を用いた分析/検証の自動化

Anjali Joshi

モデルを使った安全
分析のモジュール化(分割)

CFT, HiP-HOPS

安全分析/分析結果の準形式的な表現

RAAML(OMG)
SafeDeML

主な情報源：IMBSA(International Symposium on Model-Based Safety Assessment)

SCN-SG Safety Concept Notation Study Group6

2. なぜMBSAが必要なのか

Safety Concept Description Language

車載系巨大複雑システムの出現により、MBSEが対象としてきた設計、要求だけでなく安全分析にもモデリングによる品質向上と効率化が必要となりつつある
システム開発の効率化/品質向上の必要性拡大車載系巨大複雑システムの出現

MBSE導入:モデリング技術 :(SCDL, SysML)
安全分析/論証の効率化/品質向上の必要性拡大

MBSA導入:(CFT, HiP-HOPS)MBSA新技術開発:(SafeDeML, RAAML)

2. なぜMBSAが必要なのか(詳細)：巨大複雑システム開発の効率化

Large-Scale/Complex
in-Vehicle Systems

巨大複雑システムの安全

車載系巨大複雑システムの出現により安全分析にもモデリングによる品質向上と効率化が必要となりつつある

MBSE:(Modeling for SystemDevelopment)

標準的なシステム表記図法(SysML)の採用拡大

SCDL, SysML 2.0:
(RAAML)ISO 26262, IEC 61508:(Safety Standard)

SysMLで安全分析を行うニーズが増加

SysML 1.xに安全関連の表記を追加
FMEAに安全機構の分析を追加

FMEA-MSR:(AIAG/VDA guideline)
巨大複雑システムの安全分析をモデルベースで効率化

MBSA:(CFT, HiP-HOPS)

SCDL-SAMBSA with SysML
安全機構のモデル(Hybrid Failure Chain)
を重視
MBSAとSysML,機能安全の統合が加速

7

SCN-SG Safety Concept Notation Study Group8

3. MBSAにはどんな技術が含まれているのか

Safety Concept Description Language

我々が調査したMBSA関連の文献の内容を分類すると、下図のようになります。

システムズエンジニアリング全体を扱っているMBSEと違い、個別の課題解決のための技術が作られている段階に見えます。
本ページの技術分類は弊社で独自に検討したものです。一般的な定義、分類は見つかっていません。

3. MBSAにはどんな技術が含まれているのか(主な例)
形式手法を用いた分析/検証の自動化モデルを使った安全分析のモジュール化
(分割)
MBSA

MATLABメリット

Anjali Joshi

安全分析の自動化
分析結果の完全性

モジュール化
CFT, HiP-HOPSCFT+SysML
Clegg(York大)次ページ以降で説明する事例

RAAML(OMG)
GAIO,etc SCDL統合
独自表現
SafeML,
SafeDeML

安全分析を分割して実施
分析結果統合の自動化
メリット

MBSE成果物の活用

SysML統合
安全分析/分析結果の準形式的な表現

メリット

SCDL-SA

メリット

安全分析結果の可視化図を使った安全分析

9

10

事例１：Joshi et al.の研究

固着のモードはゼロか１か（ポート５）

故障発生の有無（ポート４）

MATLABモデルで故障時の振る舞いを記述し、故障時の特性(いくつのマルチプルポイントフォールトで安全目標侵害が発生するかなど)を形式的に解析する。

故障がゼロか１の固着のみの場合、その振る舞いはこのMATLABモデルですべて表現できる＝形式的に解析できる。
形式検証にはNuSMVモデルチェッカーを使用。
ただし、システムのすべての故障事
象をモデルとして表現することは現実的には不可能。

11

事例２：HiP-HOPS

階層化されたコンポーネントごとにFT(Fault Tree)を作り、コンポーネント間の故障のインターフェースを厳密に決めてシステム全体のFTを構築する手法

12

事例３：SafeDeML(1)SafeMLを設計、実装の領域にも使えるように拡張した図法というイメージ。
(SafeComp2019で発表)

13

事例３：SafeDeML(2)部品の故障モードもモデルとして定義する。

SafeDeMLの作図例

14

15

MBSAの主な技術分野
形式手法を用いた分析/検証の自動化モデルを使った安全分析のモジュール化
(分割)
MBSA

メリット

MATLAB

安全分析の自動化

Anjali Joshi

分析結果の完全性

モジュール化メリット

CFT, HiP-HOPS

安全分析を分割して実施
分析結果統合の自動化

CFT+SysML
既存のモデリング言語との融合

安全分析/分析結果の準形式的な表現

Clegg(York大)メリット

MBSE成果物の活用

SysML統合RAAML(OMG)
GAIO,etc SCDL統合
独自表現
SafeML,
SafeDeMLSCDL-SA

メリット

安全分析結果の可視化図を使った安全分析

SCN-SG Safety Concept Notation Study Group16

4. SCN-SGの取り組み：SCDL-SAの検討状況
Safety Concept Description Language

SCDL-SAとは SA = Safety Analysis/Assessment/Argument/Assurance 目標：機能安全の成果物全般を準形式化することによる共通化と理解共有による品質向上/生産性向上。(安全分析(MBSA)に閉じた活動ではない)

9/21 SCN-SG総会資料より引用

17

9/21 SCN-SG総会資料より引用

SCN-SG Safety Concept Notation Study Group5. MBSAの難しさ、今後の課題

18
Safety Concept Description Language

システム設計の構造と故障の伝播の関係をモデル化しようとするとモデルが複雑化する。
モデルで扱う情報量(数)が膨大になる 故障をまとめて扱う、省略するなどを適切に行わないと扱いきれない 1つの巨大なモデルを適切に分割して実用的な図を作成しないと利用者が理解しにくい

モデル化すると、従来の安全分析で省略、簡略化していた記述内容の矛盾が目立ってしまう 例：FMEAとFTAの結果のずれもモデル化すると明白になってしまう

SCN-SG Safety Concept Notation Study Group19

6. 今後の取り組み

Safety Concept Description Language

ASAM コンセプトプロジェクトへの提案
 ASAM庄井様にアドバイスを頂き、運営/技術内容を議論中

準形式化のケーススタディ、カンファレンス発表
 MBSAの知見もSCDLに取り込み、より実務で役立つ方法論、図法を目指していきます

SCN-SGSCDL-SAコンセプト
SRVA

MBSA/安全分析の可視化技術
SCDL-SA Draft Team
Safety Analysis
Arguments
Requirements/Specs

安全分析事例、
ツール機能紹介SCDL標準化の知見

安全論証の技術動向/AISCN-SG Safety Concept Notation Study Group20

統合アシュアランスケースをサポートするSCDLへ

Safety Concept Description Language

業界の関心事がアーキテクチャを含む統合アシュアランスケースに移る中で、安全アーキテクチャの記述を準形式化したSCDLを活用できる場面が増えるのではないか
技術分野/保護対象
Functional Safety

Functional Safety

Safety Analysis

SOTIF
Cybersecurity

成果物
Safety Case

手法
GSN/CAE

統合アシュアランス
ケース

アーキテクチャを含む
統合論証

統合論証のアーキテクチャ部
分にはGSN以外の論証が必要。
以外の論証が必要。
準形式化したSCDLの出番があるのではないか。