一般車両システムへの ACC システム追加におけるSTAMP/STPA 適用の試み
林 啓弘 1

吉田 貴信 2

井上 樹 2

内田 功志 3

受付日 2021 年 12 月 9 日，採録日 2021 年 12 月 9 日「アダプティブ・クルーズコントロールシステム（ACC システム）」を題材に「Automotive SPICE プロセ
スアセスメントモデル／プロセス参照モデル」の「システムエンジニアリングプロセス群」に基づく MBSEの適用を行った．この際，ACC システムとベースとなる自動車システムとの協調動作において, 「想定外の障害」や「想定外の想定外の障害」を発生させてはならないため, 仕様として精度の高い ACC 規格にSTAMP/STPA を組み合わせる形で安全面の検討を行った. 本論文ではこの過程での気づきと課題を紹介する.
キーワード：STAMP/STPA, System of systems, ACC, MBSE

An attempt to apply STAMP/STPA in adding ACC
system to general vehicle system
YOSHIHIRO HAYASHI1TATSUKI INOUE2

TAKANOBU YOSHIDA 2
ISASHI UCHIDA 3

Received: December 9, 2021, Accepted: December 9, 2021

Abstract: We applied MBSE based on the "System Engineering Process Group" of the "Automotive SPICE
Process Assessment Model/Process Reference Model" to the subject of "Adaptive Cruise Control System (ACCSystem)".In this study, since the cooperative behavior between the ACC system and the base automobile system
must not cause "unexpected failures" or "Unknown unknown obstacles," the safety aspect was stu died by combining
the ACC standard, which is highly accurate as a specification, with STAMP/STPA. In this paper, we present ourfindings and challenges in this process.
Keywords: STAMP/STPA, System of systems, ACC, MBSE

1. はじめに一般社団法人システムズエンジニアリング研究会（SERA）の MBSE ハンドブック[7][8]の例題で STAMP／
STPA[1] a)を適用した．その際，STAMP／STPA の利活用に

1 アンリツ株式会社
Anritsu Corporation
2 株式会社豆蔵
Mamezou Co., Ltd.
3 一般社団法人システムズエンジニアリング研究会
Systems Engineering Research Associationa) STAMP/STPA2012 年,マサチューセッツ工科大学（MIT）教授のナンシー・レブソン（Nancy Leveson）氏が提唱したb) STAMP workbench
安全解析手法 STAMP の導入を容易にするモデリングツール.
「STAMP Workbench」は IPA の登録商標です［登録第 6121191 号]

ついて紹介されている各書籍を調べた．どれも扱っているドメインは大きく，そのドメインの「安全制約の識別」は難しいと感じていた.
次の SERA での取り組みは「アダプティブ・クルーズコントロールシステム（ACC システム）の規格[9]」を題材に「Automotive SPICE プロセスアセスメントモデル／プロセス参照モデル（AS）」の「システムエンジニアリングプロセス群（SYS）」を参照し，MBSE を適用する研究を行った．

1

この研究では，既存の自動車システムに ACC システムを書かないようにする．

追加するという想定で MBSE を適用しているため,システムSTEP2 では，HCF(Hazard Causal Factor)の特定する．これら間の想定外の障害が発生しないようにハザード／リスク分をもとに対策を検討する．

析する必要があるので STAMP／STPA の考え方を適用することにした．また,この規格を遵守することが安全性につな

3. ACC 規格に対する STAMP／STPA の適用
本研究の STAMP／STPA の適用のアプローチは，つぎのがり，規格というドメインの大きさが理解しやすく，規格の文章や用語を使うことで,安全制約を識別しやすいと考え通りとした．

た．

①

ACC システム規格からの安全制約の導出[9]序文には「ACC システムの最終目的は，適切な方法で

2. STAMP／STPA メソッドの概要

運転者を楽にし，支援することを目指したものであり，(1) STAMP/STPA の基本的なステップ

運転者の運転負荷の軽減のために，縦方向車両制御の部

STAMP/STPA の基本的なステップは，「①解析目的の定義」

分的自動化を行うことである」とある．つまり規格の最「②コントロールストラクチャーのモデル化」「③非安全な終目的を満足するための安全制約が記載されている．そコントロールアクションの識別」「④損失シナリオの識別」

こで「3.2 STEP0 準備１「アクシデント，ハザード，安という４つのステップから成る．
「①解析目的の定義」では，全制約の識別」」では，まず STAMP／STPA の手順に従「1.損失を識別する」「2.システムレベルのハザードを識別って「アクシデント，ハザード，安全制約」の順で導出する」「3.システムレベルの安全制約を識別する」「4.ハザーを行う．その後，ACC システム規格中の「安全制約」をドの精密化」を行い，解析目的を明らかにする．
「②コント拾い出して書き出していくことにした．(3.2 参照)

ロールストラクチャーのモデル化」では，当該システムを②システムエンジニアリングプロセスの活用構成するコントローラを明らかにし,各コントローラ間に現STEP2 の HCF の特定までは実施するが以降の「対策」れるコントロールアクションとフィードバックをモデル化の 検討 は ，「 シス テム エンジ ニア リン グプ ロセ ス群する．
「③非安全なコントロールアクションの識別」では，（SYS）」へフィードバックし、システムエンジニアリンコントロール対象のプロセスに対するコントロールアクシグプロセスを活用する形の手順とした。

ョンが非安全なコントロールアクションとなった場合にど3.1 STEP0 準備１「前提条件の整理」のようになるのかを検討する．その非安全なコントロール

前提条件は ACC 規格 [9]の「適用範囲」「要求事項」から抽

アクションは，４つのガイドワードを使ってハザードにつ出した．
「適用範囲」の「ACC システムは基本的には，連続ながるかどうかを検討する．
「④損失シナリオの識別」では，的に走行できる円滑な交通条件下で自動車専用道路（自動洗い出した非安全なコントロールアクションが「なぜ起こ車以外の車両及び歩行者の通行が禁止された道路）を走行るのか」あるいは「なぜコントロールアクションは不適切しているとき，装置を搭載した車両への縦方向制御の提供」．に実行される，または実行されずハザードに至るのか」を「要求事項」では「基本的制御方針」「機能要件」から前提検討する．本研究で対象としているようなシステムオブシ条件を抽出した．このとき，「前提条件」と判断できる文章

ステムズでは構成するシステム間の関係，システムでは構を，できるだけ単一な文として拾い出した．

成するコントローラ間の関係を明らかにする．各システムや各コントローラは当該正しい動作をしているが，コント

表 1 前提条件表

ロールするタイミングのずれにより，システム全体では誤った結果となるので，そのような状態になっていないことを検証する．
2.1 STAMP workbench b)の活用本研究では STAMP/STPA のためのツールとして, IPA で公開されている STAMP workbench を活用する．
STEP0 準備１「前提条件の整理」「アクシデント，ハザー
ド，安全制約の識別」「分析対象の登場人物の抽出」.

3.2 STEP0 準備１「アクシデント(A)，ハザード(H)，安全STEP0 準備２「コントロールストラクチャーの構築」.

制約(SC)の識別」

STEP1 では，UCA(Unsafe Control Action)を抽出する．コント

ACC 規格の序文に「ACC システムの主な機能は，次の情報

ロールストラクチャー図中の各コントロールアクションにを使用して車両の走行速度を前方車両に適応するよう制御ついて，４つのガイドワード（７つの誤ったタイミング）するものである」とある．つまり「車両への縦方向制御」を使って非安全なコントロールアクション(UCA)を設定すであるため，「アクシデント(An)」は「(A1)自車が前方車両る．その際，その UCA によって引き起こされることまではに衝突する」「(A2)他車（後続車）が自車に衝突する」とし

2

た．
「ハザード(Hn)」は，アクシデントが発生する前の条件

3.3 STEP0 準備２「コントロールストラクチャーの構築」と考え，「衝突」(A1)に至る前の「(H1) 前方車両に近づき過この ACC 規格には，[9]図 1(ACC システムの機能要素)と[9]ぎる」「(H2)車両コントロールを喪失する」とした．また「(A2)

図 6(縦方向制御の作動装置)の２つの図から図 3 のコントロ

他車が自車に衝突する」は，他車の前で，喪失をしていな

ールストラクチャーを構築した．[9]図１中の「○○検知」

いまでも「(H3)自車が予想外の動きになる」とした．これらは，当該○○検知システム（コントローラ）と命名した．のハザードに対する「安全制約(SCn)」は「(SC1)前方車両に「ACC システム」「縦方向制御の作動システム」「ドライバ

近づき過ぎてはならない」「(SC2)車両コントロールが喪失しー」「ドライバー情報表示システム」「当該車両の挙動検知てはならない」「(SC3)車両が予想外の動きになってはならなシステム」「前方車両とその車間距離の検知システム」「エい」とした.

ンジン」「トランスミッション」「ブレーキ」「クラッチ」「スロットル」のコントローラを特定した．このコントローラ

表 2 アクシデント/ハザード/安全制約表
アクシデントID

アクシデント

ハザードID

A1

前方車両に衝突する

H1

A1

前方車両に衝突する

H2

A2

他車が自車に衝突する

H3

ハザード
前方車両に近づき過ぎる
車両コントロールが喪失する車両が予想外の動きになる

間のコントロールアクションは「○○制御情報」，フィード
安全制約ID
SC1
SC2
SC3

安全制約
前方車両に近づき過ぎてはならない
車両コントロールが喪失してはならない
車両が予想外の動きになってはならない

バックは「○○状態情報」と命名した．ACC システムには，
表 4 ([9]表 2(ACC システムタイプによる分類))の通り，４つのタイプがある．図 3 コントロールストラクチャーには，４つのタイプとも含まれており，分析する際は不便である．
よって，ここでは，「手動のクラッチ操作・不要」「能動的ここで，さらに ACC 規格[9]「要求事項」の「6.2 機能要件」

ブレーキ制御・要」のタイプ 2B を選択して図 4 のコントロ「6.3 基本的運転者インタフェース及び運転者による操作ールストラクチャーを構築した．

介入機能」から安全制約を抽出した．
その一部を紹介する．
・「追従制御と速度制御は自動的に行わなければならない（[9]6.2.1 制御モード）」
・「当該車両の速度を決定できなければならない（[9]6.2.2
当該車両の速度）」・「過渡状態においては，車間距離は一時的に最小車間距離未満に接近しても差し支えない．そのような状況が発生した場合は，システムは車間距離が要求車間距離に戻るように調節しなければならない（[9]6.2.4 追従能力 6.2.4.1）」
・「前方車両と当該車両間との車間距離を測定しなければな

図1[9]図 1 ACC システムの機能要素

らない（[9]6.2.4 追従能力 6.2.4.2）」「運転者が希望する設定車速を選定できる手段を備えていなければならない．
（[9]6.3 基本的運転者インタフェース及び運転者による操作介入機能 6.3.1.1）」「運転者によって発生されたブレーキカ要求が，ACC システムが発生したブレーキカより大きいときは，運転者によるブレーキ操作によって ACC の機能は作動を休止（ACC 待機状態に遷移）しなければならない（[9]6.3 基本的運転者インタフェース及び運転者による操作介入機能 6.3.1.2）」
表 3 アクシデント/ハザード/ ACC 規格安全制約表の一部

図 2 [9]図 6 縦方向制御の作動装置

3

図 4 コントロールストラクチャー(タイプ 2B)
図 3 コントロールストラクチャー

3.4 STEP1UCA(Unsafe Control Action)の抽出

コントロールストラクチャー図中の各コントロールアクシ
3.3.1 ACC 規格の登場人物

ョンについて，４つのガイドワード（７つの誤ったタイミ[9]6.3.1.4 に「出力要求でエンジンの出力操作（例えばスロング）を使って非安全なコントロールアクション(UCA)を導ットル操作）を行う」とあるので，エンジンのコントロー出する．その際，その UCA によって引き起こされることまラにスロットル制御が含まれるとした．

では書かないようにする.

ドライバーが操作するクラッチペダル，アクセルペダル，ブレーキペダルをモデルの上部へもってきた．

表 6 非安全なコントロールアクション(UCA)の抽出表「クラッチの有無」と「ACC システムによるブレーキ制御有無」の組み合わせは 4 タイプある．この研究ではコントロールストラクチャー図の構成をタイプ 2b の一つに絞る．
表 4 [9]表 2-ACC システムタイプによる分類
表2-ＡＣＣシステムタイプによる分類
タイプ

手動のクラッチ操作必要

能動的ブレーキ制御

1a

要不要

1b不要

不要

2a

要要2b不要要3.5 STEP2 HCF(Hazard Causal Factor)の特定
個々の UCA に注目しヒントワードを活用して HCF を特定

登場人物は，規格を構成するモノを記載する．責務は，規する. ここでは「CA:縦方向制御情報」コントロールアクシ

格の文章（用語）を使って記載する．コントロールアクシ

ョンに注目したコントロールループで UCA を意識し，発想

ョンは対象を制御する動作指示なので，当該コントロール，し定義した．図 5 は「CA:縦方向制御情報」コントロールア当該コマンドあるいは当該制御情報と命名することにした．

クションに注目したコントロールループの図になる．

フィードバックは，当該フィードバック，当該レスポンスあるいは当該状態情報と命名することにした．
「備考」欄に規格と関連する内容を記載し,トレーサビリティを確保した．
表 5 コンポーネント抽出表(タイプ 2B)

図 5 コントロールループ（CA:縦方向制御情報）

4ここでは, 表 6 の UCA1-P-1 に注目しヒントワードを活用しした．て導出した HCF を示す.

「(H1) 前方車両に近づき過ぎる」のサブハザードは H1-n,(UCA1-P-1) は「UCA：前走車に近づきすぎた時,加速か速度「(H2)車両コントロールを喪失」のサブハザードは H2-n,維持の指示を与える」である.

「(H3)自車が予想外の動きになる」のサブハザードは H3-nと分類した.表 8 はサブハザードの抜粋を示す。

表 7 HCF(UCA1-P-1)

表 8 ACC 規格の安全制約とサブハザード

STAMP/STPA の「④損失シナリオの識別」ステップでは,HCFまでとして,HCF に対する対策の検討はシステムエンジニアリングプロセスで検討する.

4. STAMP workbench の成果物と規格との連携

6. 考察
①

ACC システム規格からの安全制約の導出
この作業は「ハザードや安全制約の精密化」になった.

4.1 解析目的の定義

ただしハザードから安全制約を導出したのではなく,規① 表 1「前提条件」は規格の「適用範囲」と「要求事項」格から安全制約の文を導出することができた．しかしから「前提条件」と判断できる文章を，できるだけ規格にはつぎのように具体的すぎるものもあった．

単一な文として拾い出す．

[9]6.2.4.1 一般「1.5 秒～2.2 秒までの範囲内の車間時間② 表 3「アクシデントハザード安全制約表」の「安全制γを最低限一つ設定できなければならない」

約」は規格の「要求事項」から導出する．

STAMP/STPA では，具体的表現ではなく，上位概念で4.2 コントロールストラクチャーのモデル化捉えるので，「車間時間γを最低限一つ設定できなけれ① 表 5 コンポーネント抽出表の登場人物は，規格を構成ばならない」と具体的数値を外して安全制約とした方するモノを記載する.
② 表 5 コンポーネント抽出表の責務は，規格の言葉を使って記載する．
③ 表 5 コンポーネント抽出表の「備考」欄に規格と関連する内容を記載し,トレーサビリティを確保する．
4.3 非安全なコントロールアクションの識別が良いと考える．
②

HCF 対策の検討
STEP2 で HCF までは実施するが「対策」の検討は，「システムエンジニアリングプロセス群（SYS）」へフィードバックすることで十分であると考えた。引き続き
STAMP/STPA で対策の方針を立てても良いが,システム① 非安全なコントロールアクション(UCA)を導出する．

エンジニアリングプロセスで論理アーキテクチャ,物理その際，その UCA によって引き起こされることまアーキテクチャを考慮して HCF の対策を立てた方が確では書かないようにする．つまり,非安全なコントロ実で効率的であることが分かった.よって,このアプローールアクション名とする.
4.4 損失シナリオの識別① HCF でも規格を意識して状態,状況を意識してシナリオを導出する

チでも問題ないと考える.
6.1 当該規格に隣り合う規格や機能と連携する安全性分析
本規格は，「高度道路交通システム－アダプティブ・クルーズコントロールシステム(ＡＣＣ)－性能要求事項及び試験② 対策表の対策は規約遵守となるように発想すること

手順 JIS D 0801：2012（ISO15622：2010）」であった．こになるが,本研究ではシステムズエンジニアリングの規格ができたのが，JIS では 2012 年である．この前後に，で実施する．

この規格に隣り合う規格，つまりシステムとして影響があ

5. 規格からの安全制約の導出とサブハザードる規格がある．これらの規格もシステムとして扱い，システムの連携を STAMP/STPA で評価する必要がある．つぎに

前項「3.2 STEP0 準備１「アクシデント，ハザード，安全制

これら規格を紹介する．

約の識別」」で，ACC 規格から安全制約を導出した．これら[10]WG14 走行制御（Vehicle/Roadway Warning and Control

導出した安全制約の文は具体的な表現（具象）となるので，Systems）よりハザードも抽象度を下げたサブハザードを考慮することに・全車速域車間距離制御システム（FSRA） D 0807：2011 (ISO522179：2009)
ACC の追従機能を，停止制御まで拡張したシステム
・協調型車間距離制御システム（CACC）ISO 20035:2019
車車間通信の技術を用いて前方車両との車間を維持し，更に複数の車両やインフラとの通信も行う
・その他車線維持支援システム（レーンキープアシスト（LKAS））
ISO 22735:2021

7. おわりに
ここでは既存の自動車システムに規格 ACC システムの追加について検証したが，現行システムに新たなシステム（規格）を取り込む際に STAMP/STPA を適用しシステム間のコ

STAMP／STPA の理論と実践《入門編》 2016 年 12 月 14日 HASHIMOTO SOFTWARE CONSULTING
INTERNATIONAL Inc.
Takanari HASHIMOTO[7] MBSE ハンドブック 事例による MBSE＋安全＋システム
アシュアランスの実践 2017 年 11 月 10 日 一般社団法人
システムズエンジニアリング研究会（SERA） MBSE ハンドブック作成委員会[8] MBSE ハンドブック Ver2.0 事例による MBSE＋安全＋シ
ステムアシュアランスの実践 2019 年 6 月 14 日 一般社
団法人システムズエンジニアリング研究会（SERA）
MBSE ハンドブック作成委員会[9] 高度道路交通システム－アダプティブ・クルーズコントロールシステム(ＡＣＣ)－性能要求事項及び試験手順 JIS D
0801：2012（ISO15622：2010）[10] 公益社団法人自動車技術会 ワーキンググループの活動概
要 WG14 走行制御
https://www.jsae.or.jp/01info/org/its/tc204_wg14.pdf[6]ントロールループと UCA を想定することで，「想定外の想定外の障害」を発想し,AS の「システムエンジニアリングプ

著者紹介ロセス群（SYS）」のシステム要件分析（SYS.2）へ早期に

林 啓弘

アクシデント(A)，ハザード(H)，安全制約(SC),HCF をフィ

アンリツ株式会社ードバックすることができることが分かった．

エンジニアリング本部

規格からアクシデント，ハザード，安全制約を導出でき

業務支援部

る．導出した安全制約は具体的な表現（具象）となるので，ハザードだけで分類するだけでなく，チャンクダウン（抽SERA 個人会員

象度を下げ具体化）したサブハザードを考慮して分類することが必要であるということが分かった．しかし，このサ吉田 貴信

ブハザードは細かすぎるので「システムエンジニアリング

株式会社豆蔵プロセス群（SYS）」では利用せず．
「ソフトウェアエンジニ

エンジニアリングソリューシ

アリングプロセス群 (SWE)」で利用することになると考え

ョン事業部

る．
他システムでも規格に基づいた製品開発を行う際に，SERA 会員

STAMP/STPA で当該規格の安全性解析を適用することで早期にシステム要件分析に非機能要件としてフィードバック

井上 樹できると考える．

株式会社豆蔵謝辞

本論文の作成にご協力頂いた皆様に，謹んで感謝の意を表する．

CTO

一般社団法人システムズエンジニアリング研究会 理事

参考文献[1] “STPA HANDBOOK 日本語版 Ver.0.2”.

hhttp://psas.scripts.mit.edu/home/get_file2.php?name=STPA_ha
ndbook_japanese.pdf, (参照 2018-12-02).
[2] “はじめての STAMP/STPA”.
http://www.ipa.go.jp/sec/reports/20160428.html, (参照2018-12-02).
[3] “はじめての STAMP/STPA（実践編）“.
http://www.ipa.go.jp/sec/reports/20170324.html, (参照2018-12-02).
[4] Extending STPA をベースとしたプロセスモデル抽出の実践
2018 年 12 月 日本ユニシス株式会社 総合技術研究所
福島祐子氏[5] セキュアな機能の実現を目指す STPA-Sec の試行 ～プロセスモデルを中心とした分析～ 2019 年 12 月 日本ユニシス株式会社 福島祐子氏

内田 功志
一般社団法人システムズエン
ジニアリング研究会
代表理事長

6