第1回

STAMPワークショップ in Japan

UCA抽出におけるExtending STPAの試⾏〜農園ビジネスへの適⽤〜
2016年12月 7日
日本ユニシス株式会社
総合技術研究所
福島 祐子

1

STAMP/STPA適用の動機

2

STAMP/STPAを進める上での課題

3

Extending STPA の概要

4

Extending STPA の試⾏ − 農園ビジネス

5

まとめSTAMP／STPA適用の動機
 農園モニタリングシステム（信州大学・大阪大学との共同研究）
農園経営者による農作物の⽣育状況の観察を容易にする

SNS

観察
農園経営者

カメラ
圃場画像

サーバ

2

農園
モニタリングシステム©2016 Nihon Unisys, Ltd. All rights reserved.

STAMP／STPA適用の動機
 農園ビジネスの安全性について考えたい 農園ビジネスそのものの安全性を解析
 安全性への対策を「IoTシステム」で実現
事故

農園ビジネス

経営

生産

ハザード

STAMP/STPA

販売
分析

IoTシステム対策要件として取り込む
3©2016 Nihon Unisys, Ltd. All rights reserved.

STAMP/STPAを進める上での課題① 事故、ハザード、安全制約における考え方
事故やハザードは誰が識別するのか、⾼レベルなハザードをどのように識別するのか？
② コントロールストラクチャ構築における考え方
抽出するコンポーネントの粒度、範囲をどうするか？
③ プロセスモデル特定の方法
1. プロセスモデルはどのタイミングで特定するのか？
2. プロセスモデルはどのように考えて特定するのか？
 ①、②、③‑1は、 Engineering a Safer World により解決。（「付録１」参照）

 「③‑2 プロセスモデルはどのように考えて特定するのか」は未解決。
Extending STPA（MIT John Thomas氏提唱）を発⾒！
4©2016 Nihon Unisys, Ltd. All rights reserved.

Extending STPAの概要
 現在のSTPAの問題点
 ハザードにつながるコントロールアクションの識別はアドホックである。ハザードコントロールアクションを表す４種類のガイドワードが示されているだけである。

Extending STPA：
ハザードにつながるコントロールアクションの識別を⽀援

5©2016 Nihon Unisys, Ltd. All rights reserved.

Extending STPAの概要 ー 考え方 「ハザードにつながるコントロールアクション」の構造を定義
 コンテキストの情報が重要（ハザードにつながるか決まる）
ハザードにつながるコントロールアクションの構造例：
運転⼿は、電⾞が⾛⾏中に、「ドアを開ける」を指⽰する
ソース
コントローラコントロールアクションタイプ

コンテキスト：システムの条件あるいは環境コントローラは、コンテキストを把握する必要がある！
6©2016 Nihon Unisys, Ltd. All rights reserved.

Extending STPAの概要 ー 考え方 コンテキストを分解して、追加のガイダンスを得る
コンテキスト「電⾞の⾛⾏中」の分解例：
コンテキスト変数
電⾞の動作

電⾞の位置

コンテキスト値
停止
⾛⾏中
プラットフォーム
プラットフォーム以外

プロセスモデル7©2016 Nihon Unisys, Ltd. All rights reserved.

Extending STPA試⾏ ー 農園ビジネス
 農園ビジネスにおける事故とは
農園ビジネス
経営

生産

基準を超えた
農薬を含む
農作物

販売

肥料・農薬圃場
鳥獣被害

消費者

農機具
事故

販売

農作物出荷8小売店販売©2016 Nihon Unisys, Ltd. All rights reserved.

Extending STPA試⾏ ー 農園ビジネス
 Step0準備１：事故、ハザード、安全制約の識別
事故：基準値以上の残留農薬を含む農作物が市場に出回るハザード：
基準値以上の残留農薬を含む農作物を出荷する
安全制約：
基準値以上の残留農薬を含む農作物を出荷してはならない

9©2016 Nihon Unisys, Ltd. All rights reserved.

Extending STPA試⾏ ー 農園ビジネス
 Step0準備２：コントロールストラクチャの構築
ハザード：基準値以上の残留農薬を含む作物の出荷

10©2016 Nihon Unisys, Ltd. All rights reserved.

Extending STPA試⾏ ー 農園ビジネス
 UCA（安全ではない Control Action）の識別（従来⼿法）
コントロール 「Not Providing 「Providing」 が 「Wrong Timing 「Stopping Too」 が ハザードを ハザードを引起す / Order」 が ハ Soon/Applyingアクション引起す

農薬を散布す −る

ザードを引起す

Too Long」 が ハ
ザードを引起す（UCA1）（UCA2）−
規定値以上の農 農薬の散布が遅薬を散布する すぎる

UCA１：規定値以上の農薬を散布する

少しあいまい。。

HCF(ハザード原因要因)：散布量が規定値以上であるのに、作業者が規定値未満と認識している
11©2016 Nihon Unisys, Ltd. All rights reserved.

Extending STPA試⾏ ー 農園ビジネス
 Extending STPAを適用
ハザードにつながるコントロールアクション：
作業者が、散布量が規定値以上なのに、農薬を散布する

コンテキスト変数
散布量

コンテキスト値規定値以上

or規定値未満

初期のプロセスモデル

12©2016 Nihon Unisys, Ltd. All rights reserved.

Extending STPA試⾏ ー 農園ビジネス
 Extending STPAを適用
初期のプロセスモデル：
プロセスモデル変数

規定値以上の散布量
規定値未満の散布量「散布量が規定値以上」というのはどういうことか？

分解いつプロセスモデル階層：

どこに何を規定値以上の散布量‒ 今回の散布量
規定値以上 規定値未満‒ 過去の散布量
規定値以上 規定値未満‒ 散布エリア‒ 今回の散布エリア
正しいエリア 誤ったエリア‒ 過去の散布エリア
正しいエリア 誤ったエリア
13©2016 Nihon Unisys, Ltd. All rights reserved.

Extending STPA試⾏ ー 農園ビジネス
 詳細化したプロセスモデルからUCAを特定
従来手法：（UCA1）規定値以上の農薬を散布する
Extending STPA：（UCA1‑1）今回の散布量が規定値以上であるが、農薬を散布する（UCA1‑2）過去の散布量が規定値以上であるが、農薬を散布する（UCA1‑3）今回の散布エリアが誤っているのに、農薬を散布する（UCA1‑4）過去に対象エリアに誤って農薬を散布しているのに、重複して農薬を散布する
14©2016 Nihon Unisys, Ltd. All rights reserved.

Extending STPA試⾏ ー 農園ビジネス
 ハザードにつながる一つのシナリオ
作業者１が、エリアAに農薬を散布するところを誤ってエリアBに散布する。（エリアを誤認識する）
作業者２が、正しい散布エリアとしてエリアBへ農薬を散布する。（エリアBへの誤った散布を知らない）
これにより、エリアBに規定値以上に農薬が散布される。
 対策
誤ったエリアであることを作業者が認識できるようにする

GPSにより作業者の位置を特定。
散布器具にセンサーを取り付け、誤った散布エリアで散布するとアラームが鳴る。
「IoTシステム」の要件へ

15©2016 Nihon Unisys, Ltd. All rights reserved.

まとめ 今回の試⾏でできたこと
 顧客ビジネスの安全性解析にExtending STPAを適用することで、システム要件に取り込むことができる具体的な対策を得た。
 今回の試⾏で確認できたこと
 プロセスモデルの重要性
プロセスモデルはコントローラのUCA実⾏の判断材料なので重要である。
UCA、HCFの具体性は、プロセスモデルの明確さに依存する。
 Extending STPAの有効性
Extending STPAの考え方は、プロセスモデルを明確にするのに有効である。
16©2016 Nihon Unisys, Ltd. All rights reserved.

付録１ STAMP/STPA適用のコツ（抜粋） 事故の識別 何を事故とするのかという定義は安全性への取り組みのゴールとスコープになるので、取り組みを開始する前に定義しなければならない。
 事故は、顧客、システムの統制機関、ユーザグループ、保険会社、専門団体体、業界標準、その他の利害関係者などから引き出す。
・・・
 ハザードの識別 ハザード識別の前にシステム境界を決める。境界を定義するよい⽅法は、アクシデントに関係する条件のうちデザイナがコントロールできる条件を含めるようにすることである。
 ハザードには、 故障（failure） 、 エラー（error） という用語がふくまれている場合には、誤っている可能性がある。 故障 、 エラー はハザードそのものではなく、ハザードにつながる原因であることが多い。ハザードとその原因を分けることが重要である。
・・・（ Nancy Leveson, Engineering a Safer World, The MIT Press, 2012）17©2016 Nihon Unisys, Ltd. All rights reserved.

参考文献
 はじめてのSTAMP/STPA 〜システム思考に基づく新しい安全性解析⼿法〜, IPA/SEC, 2016, http://www.ipa.go.jp/files/000051829.pdf
 Nancy Leveson, An STPA Primer, http://psas.scripts.mit.edu/home/wpcontent/uploads/2015/06/STPA-Primer-v1.pdf
 Nancy Leveson, Engineering a Safer World, The MIT Press, 2012
 John Thomas, Extending and Automating a Systems-Theoretic Hazard
Analysis for Requirements Generation and Analysis,
http://sunnyday.mit.edu/JThomas-Thesis.pdf
 ⼩林⼀樹, 作物の生育情報抽出のための高精細画像比較システムの開発,
https://www.jstage.jst.go.jp/article/air/22/1/22_24/_pdf, 201318

©2016 Nihon Unisys, Ltd. All rights reserved.

ご清聴ありがとうございました